tabla de equivalencia funcional entre estándares de seguridad

TABLA DE EQUIVALENCIA FUNCIONAL ENTRE ESTÁNDARES
DE SEGURIDAD Y LA LFPDPPP, SU REGLAMENTO Y LAS
RECOMENDACIONES EN MATERIA DE SEGURIDAD DE
DATOS PERSONALES
1
ÍNDICE
ÍNDICE ........................................................................................................................................................ 2
1. INTRODUCCIÓN A LA REGULACIÓN DEL DERECHO A LA PROTECCIÓN DE DATOS
PERSONALES EN POSESIÓN DE LOS PARTICULARES EN MÉXICO................................................. 5
1.1 Constitución Política de los Estados Unidos Mexicanos .............................................................. 5
1.2 Ley Federal de Protección de Datos Personales en Posesión de los Particulares ................... 5
1.3 Reglamento de la LFPDPPP ................................................................................................................ 9
1.4 Recomendaciones en materia de seguridad de datos personales ........................................... 12
2. IMPORTANCIA DE LA TABLA DE EQUIVALENCIA ....................................................................... 13
2.1 Definición ............................................................................................................................................. 13
2.2 Beneficios ............................................................................................................................................. 13
3. NIVEL DE CONTRIBUCIÓN ............................................................................................................... 15
4. ANÁLISIS POR ESTÁNDAR .............................................................................................................. 18
4.1 ISO/IEC 27001:2013, Information Technology - Security techniques – Information security
management systems – Requirements. ................................................................................................ 19
4.2 ISO/IEC 27002:2013, Information Technology - Security techniques – Code of practice for
security management. .............................................................................................................................. 47
4.3 ISO/IEC 27005:2008, Information Technology - Security techniques – Information security
risk management. ..................................................................................................................................... 88
4.4 ISO/IEC 27006:2011, Information technology -- Security techniques -- Requirements for
bodies providing audit and certification of information security management systems. ........ 119
4.5 ISO/IEC TR 27008:2011, Information technology -- Security techniques -- Guidelines for
auditors on information security controls. ......................................................................................... 146
2
4.6 ISO/IEC 29100:2011, Information Technology - Security techniques -- Privacy framework.
................................................................................................................................................................... 175
4.7 ISO/IEC 20000-1:2011 Information technology - Service management -Part 1: Service
management system requirements. .................................................................................................... 204
4.8 ISO 22301:2012 Societal security - Business continuity management systems –
Requirements. .......................................................................................................................................... 238
4.9 ISO 31000:2009, Risk management – Principles and guidelines............................................. 264
4.10 ISO GUIDE 72, Guidelines for the justification and development of management systems
standards. ................................................................................................................................................. 291
4.11 ISO GUIDE 73, Risk management – Vocabulary. ..................................................................... 318
4.12 ISO 9000:2005, Quality management systems -- Fundamentals and vocabulary. ............ 341
4.13 BS 10012:2009 Data Protection – Specification for a Personal Information Management
System (PIMS). ......................................................................................................................................... 372
4.14 NIST SP 800-14 Generally Accepted Principles and Practices for Securing Information
Technology Systems. .............................................................................................................................. 400
4.15 OECD Guidelines for the Security of Information Systems and Networks – Towards a
Culture of Security. ................................................................................................................................. 425
4.16 Generally Accepted Privacy Principles (GAPP) from American Institute of CPAs. ............. 451
4.17 Control Objectives for Information and Related Technology (COBIT v4.1). ....................... 481
4.18 Control Objectives for Information and Related Technology (COBIT 5). ............................ 530
4.19 PCI DSS, Payment Card Industry Data Security Standard v2.0. ............................................ 589
4.20 HIPAA, Health Insurance Portability and Accountability Act. ................................................ 636
4.21 SOx, Sarbanes-Oxley Act of 2002. .............................................................................................. 666
4.22 ITIL, Information Technology Infrastructure Library v3. .......................................................... 695
4.23 The Open Web Application Security Project (OWASP), Guía de Documentación v2.0. ... 729
3
4.24 Cloud Security Alliance Cloud Controls Matrix (CCM) v3.0. .................................................. 766
5. ANEXO - Definiciones .................................................................................................................... 825
4
1. INTRODUCCIÓN A LA REGULACIÓN DEL DERECHO A LA
PROTECCIÓN DE DATOS PERSONALES EN POSESIÓN DE LOS
PARTICULARES EN MÉXICO
1.1 Constitución Política de los Estados Unidos Mexicanos
Con la reforma al artículo 16 de la Constitución Política de los Estados Unidos
Mexicanos, que tuvo lugar en el año 2009, se incorporó a la lista de los derechos
humanos y sus garantías, el derecho a la protección de datos personales, y se le dotó
de contenido, al señalar nuestra Carta Magna que:
Toda persona tiene derecho a la protección de sus datos personales, al acceso,
rectificación y cancelación de los mismos, así como a manifestar su oposición, en
los términos que fije la ley, la cual establecerá los supuestos de excepción a los
principios que rijan el tratamiento de datos, por razones de seguridad nacional,
disposiciones de orden público, seguridad y salud públicas o para proteger los
derechos de terceros.
En ese sentido, en nuestro país, la protección de datos personales se considera un
derecho humano.
1.2 Ley Federal de Protección de Datos Personales en Posesión de los
Particulares
El 6 de julio de 2010 entró en vigor la Ley Federal de Protección de Datos Personales
en Posesión de los Particulares (LFPDPPP o la Ley), la cual tiene por objeto la
protección de los datos personales en posesión de los particulares, con la finalidad de
regular su tratamiento legítimo, controlado e informado, y con ello garantizar la
privacidad y el derecho a la autodeterminación informativa de las personas. La Ley
aplica a los particulares que traten datos personales, sean personas físicas o morales, a
quienes la Ley denomina responsables. Es importante señalar que la Ley define al
5
tratamiento como “la obtención, uso, divulgación o almacenamiento de datos
personales, por cualquier medio. El uso abarca cualquier acción de acceso, manejo,
aprovechamiento, transferencia o disposición de datos personales”.
El derecho a la protección de los datos personales en posesión de los particulares se
encuentra regulado en México con base en ocho principios: licitud, consentimiento,
información, calidad, finalidad, lealtad, proporcionalidad y responsabilidad. Los
responsables están obligados a tratar los datos personales atendiendo las obligaciones
que se imponen a través de estos ocho principios.
El principio de licitud obliga a los responsables a que el tratamiento sea con apego y
cumplimiento a lo dispuesto por la legislación mexicana y el derecho internacional. Por
su parte, el principio de consentimiento establece que los responsables deberán
obtener el consentimiento de los titulares para el tratamiento de los datos personales,
a menos que no sea exigible de acuerdo con las excepciones que prevé el artículo 10
de la Ley. El consentimiento puede ser tácito, expreso o expreso y por escrito, según el
tipo de datos personales que se traten, pero en todo caso debe ser libre, específico e
informado. Con relación a esto último, el principio de información señala como
obligación de los responsables poner a disposición de los titulares el aviso de
privacidad, previo a la obtención de los datos personales, a fin de informarles sobre las
características principales del tratamiento y la forma en que podrán ejercer sus
derechos.
Asimismo, el principio de calidad se cumple cuando los datos personales tratados por
los responsables son exactos, completos, correctos y actualizados. El principio de
finalidad señala que los datos personales sólo podrán ser tratados para el
cumplimiento de la finalidad o finalidades determinadas o concretas establecidas en el
aviso de privacidad. Ligado a lo anterior, el principio de proporcionalidad establece
que sólo podrán ser objeto de tratamiento los datos personales que resulten
necesarios, adecuados y relevantes en relación con las finalidades para las que se
hayan obtenido.
6
Por último, el principio de lealtad establece la obligación de tratar los datos personales
privilegiando la protección de los intereses del titular y la expectativa razonable de
privacidad; mientras que el principio de responsabilidad señala que el responsable
tiene la obligación de velar y responder por el tratamiento de los datos personales que
se encuentren bajo su custodia o posesión, o por aquéllos que haya comunicado a un
encargado. Para cumplir con el principio de responsabilidad, el responsable podrá
valerse
de
estándares,
mejores
prácticas,
políticas
internas,
esquemas
de
autorregulación o cualquier otro mecanismo que considere adecuado para tales fines.
Ahora bien, además de los ocho principios antes descritos, la Ley prevé dos deberes: el
de seguridad de los datos personales y el de confidencialidad. Este último refiere a la
obligación de los responsables y encargados que intervengan en cualquier fase del
tratamiento de datos personales, de guardar confidencialidad respecto de la
información personales que esté en su posesión, aún después de que finalice la
relación con el titular.
Y con relación al deber de seguridad de los datos personales, la Ley establece en su
artículo 19 que “Todo responsable que lleve a cabo el tratamiento de datos personales
deberá establecer y mantener medidas de seguridad administrativas, técnicas y físicas
que permitan proteger los datos personales contra daño, pérdida, alteración,
destrucción o el uso, acceso o tratamiento no autorizado”. De manera adicional, en el
artículo 20, la Ley señala que “las vulneraciones de seguridad ocurridas en cualquier
fase del tratamiento que afecten de manera significativa los derechos patrimoniales o
morales de los titulares, serán informadas de forma inmediata por el responsable al
titular, a fin de que este último pueda tomar las medidas correspondientes a la
defensa de sus derechos”.
Asimismo, la Ley establece otra serie de obligaciones que deberán cumplir los
responsables del tratamiento de datos personales, entre las que destaca la de atender
7
las solicitudes de ejercicio de los derechos de acceso, rectificación, cancelación y
oposición (derechos ARCO) que presenten los titulares.
Por otra parte, la Ley nombra al Instituto Nacional de Transparencia, Acceso a la
Información y Protección de Datos Personales (INAI o Instituto), actualmente
reconocido como órgano constitucional autónomo, como la autoridad garante del
derecho a la protección de datos personales en posesión de los particulares, y para
ello le otorga facultades informativas, normativas, en materia de verificación,
resolutorias, preventivas, en materia de cooperación nacional e internacional y
sancionadoras.
En el caso que nos ocupa, nos interesa destacar las facultades del INAI para divulgar
estándares y mejores prácticas en materia de seguridad de la información, en la cual se
basa la presente Tabla de Equivalencia.
En uso de las facultades que le otorga la Ley, el Instituto sustancia tres tipos de
procedimientos: el de protección de derechos, enfocado a los derechos ARCO; el de
verificación, a fin de vigilar en debido cumplimiento de la norma, y el de imposición de
sanciones.
Con relación a este último procedimiento, la Ley faculta al INAI a establecer sanciones
que van desde 100 a 320 mil días de salario mínimo vigente en el Distrito Federal, a
los responsables que comentan las infracciones que prevé la propia Ley en su artículo
63. En caso de reincidir, se impondrá un castigo adicional similar al anterior, además de
que podrán incrementarse hasta por dos veces los montos establecidos cuando se
trate de datos sensibles.
Asimismo, se impondrán penas corpóreas de tres meses a tres años de prisión al que
estando autorizado para tratar datos personales, con ánimo de lucro, provoque una
vulneración de seguridad a las bases de datos bajo custodia. Se sancionará con prisión
de seis meses a cinco años al que, con el fin de alcanzar un lucro indebido, trate datos
8
personales mediante el engaño, aprovechándose del error en que se encuentre el
titular o persona autorizada para transmitirlos.
1.3 Reglamento de la LFPDPPP
En particular, con relación al deber de seguridad de los datos personales, que es la
materia principal de esta Tabla de Equivalencia, el Reglamento de la Ley, en su
Capítulo III, detalla los factores y acciones que deberán tomar en cuenta tanto
responsables, como encargados, para la seguridad de los datos personales.
Al respecto, el artículo 60 del Reglamento de la Ley señala:
Artículo 60. El responsable determinará las medidas de seguridad aplicables a los
datos personales que trate, considerando los siguientes factores:
I. El riesgo inherente por tipo de dato personal;
II. La sensibilidad de los datos personales tratados;
III. El desarrollo tecnológico, y
IV. Las posibles consecuencias de una vulneración para los titulares.
De manera adicional, el responsable procurará tomar en cuenta los siguientes
elementos:
I. El número de titulares;
II. Las vulnerabilidades previas ocurridas en los sistemas de tratamiento;
III. El riesgo por el valor potencial cuantitativo o cualitativo que pudieran tener los
datos personales tratados para una tercera persona no autorizada para su
posesión, y
IV. Demás factores que puedan incidir en el nivel de riesgo o que resulten de otras
leyes o regulación aplicable al responsable.
Por su parte, el artículo 61 del Reglamento establece:
9
Artículo 61. A fin de establecer y mantener la seguridad de los datos personales, el
responsable deberá considerar las siguientes acciones:
I. Elaborar un inventario de datos personales y de los sistemas de tratamiento;
II. Determinar las funciones y obligaciones de las personas que traten datos
personales;
III. Contar con un análisis de riesgos de datos personales que consiste en
identificar peligros y estimar los riesgos a los datos personales;
IV. Establecer las medidas de seguridad aplicables a los datos personales e
identificar aquéllas implementadas de manera efectiva;
V. Realizar el análisis de brecha que consiste en la diferencia de las medidas de
seguridad existentes y aquéllas faltantes que resultan necesarias para la protección
de los datos personales;
VI. Elaborar un plan de trabajo para la implementación de las medidas de
seguridad faltantes, derivadas del análisis de brecha;
VII. Llevar a cabo revisiones o auditorías;
VIII. Capacitar al personal que efectúe el tratamiento, y
IX. Realizar un registro de los medios de almacenamiento de los datos personales.
El responsable deberá contar con una relación de las medidas de seguridad
derivadas de las fracciones anteriores.
Asimismo, el artículo 62 del Reglamento dice:
Artículo 62. Los responsables deberán actualizar la relación de las medidas de
seguridad, cuando ocurran los siguientes eventos:
I. Se modifiquen las medidas o procesos de seguridad para su mejora continua,
derivado de las revisiones a la política de seguridad del responsable;
II. Se produzcan modificaciones sustanciales en el tratamiento que deriven en un
cambio del nivel de riesgo;
III. Se vulneren los sistemas de tratamiento, de conformidad con lo dispuesto en el
artículo 20 de la Ley y 63 del presente Reglamento, o
IV. Exista una afectación a los datos personales distinta a las anteriores.
10
En el caso de datos personales sensibles, los responsables procurarán revisar y, en
su caso, actualizar las relaciones correspondientes una vez al año.
En cuanto a las vulneraciones de seguridad, los artículos 63, 64, 65 y 66 señalan:
Vulneraciones de seguridad
Artículo 63. Las vulneraciones de seguridad de datos personales ocurridas en
cualquier fase del tratamiento son:
I. La pérdida o destrucción no autorizada;
II. El robo, extravío o copia no autorizada;
III. El uso, acceso o tratamiento no autorizado, o
IV. El daño, la alteración o modificación no autorizada.
Notificación de vulneraciones de seguridad
Artículo 64. El responsable deberá informar al titular las vulneraciones que afecten
de forma significativa sus derechos patrimoniales o morales, en cuanto confirme
que ocurrió la vulneración y haya tomado las acciones encaminadas a detonar un
proceso de revisión exhaustiva de la magnitud de la afectación, y sin dilación
alguna, a fin de que los titulares afectados puedan tomar las medidas
correspondientes.
Información mínima al titular en caso de vulneraciones de seguridad
Artículo 65. El responsable deberá informar al titular al menos lo siguiente:
I. La naturaleza del incidente;
II. Los datos personales comprometidos;
III. Las recomendaciones al titular acerca de las medidas que éste pueda adoptar
para proteger sus intereses;
IV. Las acciones correctivas realizadas de forma inmediata, y
V. Los medios donde puede obtener más información al respecto.
Medidas correctivas en caso de vulneraciones de seguridad
11
Artículo 66. En caso de que ocurra una vulneración a los datos personales, el
responsable deberá analizar las causas por las cuales se presentó e implementar
las acciones correctivas, preventivas y de mejora para adecuar las medidas de
seguridad correspondientes, a efecto de evitar que la vulneración se repita.
No se omite señalar que, por su parte, el artículo 58 del Reglamento de la Ley señala
que en los casos en que ocurra una vulneración a la seguridad de los datos personales,
el Instituto podrá tomar en consideración el cumplimiento de sus recomendaciones
para determinar la atenuación de la sanción que corresponda.
1.4 Recomendaciones en materia de seguridad de datos personales
En las Recomendaciones en materia de Seguridad de Datos Personales, publicadas en
el Diario Oficial de la Federación el 30 de octubre de 2013, el INAI recomienda la
implementación de un Sistema de Gestión de Seguridad de Datos Personales (SGSDP),
basado en el ciclo PHVA (Planear-Hacer-Verificar-Actuar), para la protección de los
datos personales.
Estas recomendaciones se basan en la seguridad a través de la gestión del riesgo de
los datos personales, entendiéndose de forma general al riesgo como una combinación
de la probabilidad de que un incidente ocurra y de sus consecuencias desfavorables;
de modo tal que al determinar el riesgo en un escenario específico de la organización,
se pueda evaluar el impacto y realizar un estimado de las medidas de seguridad
necesarias para preservar la información personal.
Es importante señalar que la adopción de las recomendaciones es de carácter
voluntario, por lo que los responsables y encargados podrán decidir libremente qué
metodología conviene más aplicar en su negocio para la seguridad de los datos
personales. Asimismo, el seguimiento de las presentes recomendaciones no exime a los
responsables y encargados de su responsabilidad con relación a cualquier vulneración
que pudiera ocurrir a sus bases de datos, ya que la seguridad de dichas bases
depende de una correcta implementación de las medidas de seguridad.
12
2. IMPORTANCIA DE LA TABLA DE EQUIVALENCIA
2.1 Definición
La Tabla de Equivalencia es un material de referencia para los responsables y
encargados, que les permitirá evaluar si la implementación de determinados estándares
internacionales en materia de seguridad de la información y privacidad en su
organización facilitan el cumplimiento de los requisitos y obligaciones que establece la
Ley y su Reglamento en lo relativo a medidas de seguridad, así como las
Recomendaciones en materia de Seguridad de Datos Personales emitidas por el
Instituto y publicadas en el Diario Oficial de la Federación el 30 de octubre de 2013.
2.2 Beneficios
Las ventajas de la Tabla de Equivalencia son las siguientes:
1) Proporciona apoyo técnico a los responsables y encargados en la protección
de datos personales.
2) Se basa en estándares internacionales relacionados con la seguridad de la
información y privacidad, de amplia aceptación en las organizaciones
mexicanas.
3) Ayuda a determinar si la implementación de los controles que se establecen
en los estándares internacionales relacionados con la seguridad de la
información y privacidad facilitan el cumplimiento de las obligaciones y
requisitos establecidos por la LFPDPPP y su Reglamento, y si se adaptan a
las Recomendaciones en materia de seguridad de datos personales.
4) Facilita a los responsables y encargados el cumplimiento de sus obligaciones
en materia de seguridad de los datos personales.
5) Ayuda a disminuir el impacto en cuanto a costos de implementación de la
LFPDPPP y su Reglamento.
13
6) Enriquece el objeto de los esquemas de autorregulación vinculante en
materia de protección de datos personales.
7) Ayuda a que los responsables y encargados demuestren ante el Instituto el
cumplimiento de las obligaciones previstas en la LFPDPPP y su Reglamento,
y a lo previsto en las Recomendaciones en materia de seguridad de datos
personales.
14
3. NIVEL DE CONTRIBUCIÓN
A continuación se muestra el nivel de contribución de los estándares internacionales en
materia de seguridad de la información y privacidad que son objeto de este análisis,
para lograr el cumplimiento de los requisitos contenidos en la Ley, su Reglamento, y
las Recomendaciones en materia de seguridad de datos personales.
Para el cálculo del nivel de contribución, se tomó como base el total de requisitos de
la Ley, su Reglamento, y las Recomendaciones, que componen la Tabla de Equivalencia.
Así, un estándar tiene un nivel de contribución Alto cuando cumple el 87% o más
de los requisitos exigidos por la norma; un nivel de contribución Medio cuando
cumple del 60% al 87% de los requisitos, y un nivel de contribución Bajo cuando
cumple con menos del 60% de los requisitos.
Simbología del Nivel de Contribución
Alto
Bajo
Medio
La siguiente tabla muestra el resumen del análisis, según el nivel de contribución por
estándar:
Estándar
Nivel de Contribución
ISO/IEC 27001 (2005, 2013), Information Technology Security techniques – Information security management
systems – Requirements.
ISO/IEC 27002 (2005, 2013), Information Technology Security
techniques
–
Code
of
practice
for
security
management.
15
Estándar
Nivel de Contribución
ISO/IEC 27005:2008, Information Technology - Security
techniques – Information security risk management.
ISO/IEC 27006:2011, Information technology -- Security
techniques -- Requirements for bodies providing audit and
certification of information security management systems.
ISO/IEC TR 27008:2011, Information technology -- Security
techniques -- Guidelines for auditors on information security
controls.
ISO/IEC 29100:2011, Information Technology - Security
techniques -- Privacy framework.
ISO/IEC 20000-1:2011 Information technology - Service
management
-Part
1:
Service
management
system
requirements.
ISO 22301:2012 Societal security - Business continuity
management systems – Requirements.
ISO
31000:2009,
Risk
management
–
Principles
and
justification
and
guidelines.
ISO
GUIDE
72,
Guidelines
for
the
development of management systems standards.
ISO GUIDE 73, Risk management – Vocabulary.
ISO
9000:2005,
Quality
management
systems
--
Fundamentals and vocabulary.
16
Estándar
Nivel de Contribución
BS 10012:2009 Data protection – Specification for a personal
information management system.
NIST SP 800-14
Generally Accepted Principles and
Practices for Securing Information Technology Systems.
OECD Guidelines for the Security of Information Systems
and Networks – Towards a Culture of Security.
Generally Accepted Privacy Principles (GAPP) from American
Institute of CPAs.
Control Objectives for Information and Related Technology
(COBIT 4.1).
Control Objectives for Information and Related Technology
(COBIT 5).
PCI DSS, Payment Card Industry Data Security Standard.
HIPAA, Health Insurance Portability and Accountability Act.
SOx, Sarbanes-Oxley Act of 2002.
ITIL, Information Technology Infrastructure Library.
The Open Web Application Security Project (OWASP).
Cloud Security Alliance Cloud Controls Matrix (CCM).
17
4. ANÁLISIS POR ESTÁNDAR
A continuación se muestran los objetivos de control de cada estándar internacional en
materia de seguridad de la información y privacidad, que tienen una contribución para
lograr el cumplimiento de las obligaciones contenidas en la Ley, su Reglamento, y las
Recomendaciones en materia de seguridad de datos personales.
18
4.1 ISO/IEC 27001:2013, Information Technology - Security techniques – Information security
management systems – Requirements.
Introducción. El estándar proporciona los requerimientos para establecer, controlar, mantener y mejorar continuamente
un Sistema de Gestión de Seguridad de la Información (ISMS: Information Security Management System). La adopción de
este sistema de gestión es una decisión estratégica de las organizaciones, la cual se debe basar en los riesgos y objetivos
de la organización.
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
RESPONSABLE
Identificación
4.
Contexto
Organización.
de
la
de
factores
internos y externos relevantes
para
la
organización,
involucradas
y
partes
alcance
del
ISMS.
Los responsables en el tratamiento de datos
Definición del compromiso y las
personales, deberán observar los principios
1
de
licitud,
consentimiento,
información,
calidad, finalidad, lealtad, proporcionalidad y
Art. 6
Art. 9
1. Recomendación
General.
responsabilidades
5. Liderazgo.
Asignación
responsabilidad, previstos en la Ley.
de
la
Dirección en un ISMS.
de
los
roles
relevantes para el ISMS.
Direccionamiento de riesgos y
oportunidades en lo que a
6. Planeación.
seguridad se refiere orientado
al
cumplimiento
de
los
objetivos de la organización.
19
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Aprovisionamiento
de
7. Soporte.
los
apropiado
recursos
técnicos,
humanos y financieros para el
establecimiento del ISMS.
Proceso
para
actividades
8. Operación.
definir
para:
implementar,
las
planear,
monitorear
y
mejorar el ISMS.
Actividades
9.
Evaluación
del
desempeño.
para
evaluar
el
desempeño y la efectividad del
ISMS respecto a las métricas y
objetivos definidos
Proceso a seguir para mejorar
10. Mejora.
lo adecuado del ISMS respecto
a los objetivos planeados.
LICITUD Y LEALTAD
Los datos personales deberán recabarse y
tratarse de manera lícita, privilegiando la
protección de los intereses del titular y la
expectativa
2
razonable
de
privacidad,
6.2
sin
importar la fuente de la que se obtienen los
datos.
Art. 7
Art. 7
Art. 10
Art. 44
Paso 1. Alcance y
Objetivos.
Objetivos
Seguridad
Información
planeación
alcanzarlos.
La obtención de datos personales no debe
de
de
la
y
para
Definición de los objetivos del
ISMS
y
recursos
asignación
para
cubrir
de
los
dichos
objetivos.
hacerse a través de medios engañosos o
fraudulentos.
CONSENTIMIENTO
20
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
El tratamiento de datos personales estará
Identificación
sujeto al consentimiento de su titular, salvo
4
las excepciones previstas por la Ley.
Los
3
datos
financieros
o
Contexto
de
la
Organización.
patrimoniales
requerirán consentimiento expreso de su
titular.
Art. 11
Art. 8
Art. 12
Art. 15
Personales.
factores
internos y externos relevantes
para
la
organización,
involucradas
y
partes
alcance
del
ISMS.
Paso 2. Política de
Gestión de Datos
de
6.2
Objetivos
Seguridad
Cuando los datos personales se obtengan
Información
personalmente o de manera directa de su
planeación
titular, el consentimiento deberá ser previo al
alcanzarlos.
de
de
la
y
para
Definición de los objetivos del
ISMS
y
recursos
asignación
para
cubrir
de
los
dichos
objetivos.
tratamiento.
6.2
El responsable deberá facilitar al titular
4
medios sencillos y gratuitos para manifestar
Art. 8
Art. 16
su consentimiento expreso.
Objetivos
Paso 2. Política de
Seguridad
Gestión de Datos
Información
Personales.
planeación
de
de
la
y
para
alcanzarlos.
Tratándose de datos personales sensibles, el
responsable
deberá
obtener
para
su
el
4
Contexto
de
la
Organización.
tratamiento.
No podrán crearse bases de datos que
contengan datos personales sensibles, sin
que se justifique la creación de las mismas
para
finalidades
legítimas,
concretas
y
acordes con las actividades o fines explícitos
que persigue el sujeto regulado.
y
recursos
asignación
para
cubrir
Art. 9
Art. 56
Gestión de Datos
Personales.
de
los
dichos
objetivos.
de
factores
internos y externos relevantes
para
la
organización,
involucradas
Paso 2. Política de
5
ISMS
Identificación
consentimiento expreso y por escrito del
titular
Definición de los objetivos del
y
partes
alcance
del
ISMS.
6.2
Objetivos
Seguridad
Información
planeación
alcanzarlos.
de
de
la
y
para
Definición de los objetivos del
ISMS
y
recursos
asignación
para
cubrir
de
los
dichos
objetivos.
21
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
Implementación de
las Medidas de
Para efectos de demostrar la obtención del
6
consentimiento,
recaerá,
en
la
carga
todos
los
de
la
casos,
Seguridad
prueba
en
Art. 20
el
responsable.
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
6.2
Objetivos
Seguridad
de
Información
de
la
y
planeación
para
alcanzarlos.
Definición de los objetivos del
ISMS
y
recursos
asignación
para
cubrir
de
los
dichos
objetivos.
Medidas de
Seguridad.
INFORMACIÓN
A
través
del
aviso
de
privacidad,
el
responsable tendrá la obligación de informar
a los titulares, los datos que recaba, las
finalidades necesarias y las que no lo son
para
la
relación
jurídica,
así
como
las
características principales de su tratamiento.
7
Cuando se traten datos personales como
Art. 14
Paso 2. Política de
parte de un proceso de toma de decisiones
Art. 23
Gestión de Datos
Art. 112
Personales.
sin que intervenga la valoración de una
persona
física,
el
responsable
deberá
informar al titular que esta situación ocurre.
Art. 15
6.2
Objetivos
Seguridad
Información
planeación
alcanzarlos.
de
de
la
y
para
Definición de los objetivos del
ISMS
y
recursos
asignación
para
cubrir
de
los
dichos
objetivos.
Si obtiene los datos de manera automática,
deberá informar al titular sobre el uso de
estas tecnologías y la forma en que podrá
deshabilitarlas.
22
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
Implementación de
las Medidas de
Cuando los datos personales sean obtenidos
directamente
8
del
titular,
el
aviso
Seguridad
de
privacidad debe ponerse a disposición de los
Art. 3, I
titulares a través de formatos impresos,
Art. 17
Art. 27
digitales, visuales, sonoros o cualquier otra
Aplicables a los
Datos Personales.
Cumplimiento
tecnología.
6.2
Objetivos
Seguridad
de
Información
de
la
y
planeación
para
alcanzarlos.
Definición de los objetivos del
ISMS
y
recursos
asignación
para
cubrir
de
los
dichos
objetivos.
Cotidiano de
Medidas de
Seguridad.
Paso 7.
El aviso de privacidad
debe contener un
mecanismo,
el
para
que
titular
Implementación de
las Medidas de
pueda
manifestar su negativa al tratamiento de sus
9
datos
personales.
Cuando
los
datos
se
obtengan de manera indirecta del titular, el
Art. 14
Art. 18
Art. 29
Art. 32
responsable deberá darle a conocer el aviso
Seguridad
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
de privacidad y sus cambios.
6.2
Objetivos
Seguridad
de
Información
de
la
y
planeación
para
alcanzarlos.
Definición de los objetivos del
ISMS
y
recursos
asignación
para
cubrir
de
los
dichos
objetivos.
Medidas de
Seguridad
Paso 7.
Para efectos de demostrar la puesta a
disposición
10
del
aviso
de
privacidad
en
cumplimiento del principio de información, la
carga de la prueba recaerá, en todos los
casos, en el responsable.
Implementación de
las Medidas de
Art. 31
6.2
Objetivos
Seguridad
Seguridad
Información
Aplicables a los
planeación
Datos Personales.
alcanzarlos.
de
de
la
y
para
Definición de los objetivos del
ISMS
y
recursos
asignación
para
cubrir
de
los
dichos
objetivos.
Cumplimiento
23
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Cotidiano de
Medidas de
Seguridad.
CALIDAD
El responsable procurará que los datos
6.2
personales contenidos en las bases de datos
11
sean
exactos,
completos,
pertinentes,
correctos y actualizados según se requiera
Art. 11
Art. 36
para el cumplimiento de la finalidad para la
Objetivos
Paso 2. Política de
Seguridad
Gestión de Datos
Información
Personales.
planeación
de
de
la
y
para
alcanzarlos.
cual son tratados.
Definición de los objetivos del
ISMS
y
recursos
asignación
para
cubrir
de
los
dichos
objetivos.
Cuando los datos de carácter personal hayan
dejado
de
ser
necesarios
para
el
cumplimiento de las finalidades previstas por
el aviso de privacidad y las disposiciones
legales aplicables, deberán ser cancelados,
6.2
previo bloqueo de los mismos.
12
Art. 3 III
El responsable de la base de datos estará
obligado a eliminar la información relativa al
incumplimiento
de
obligaciones
Art. 11
Art. 37
Objetivos
Paso 2. Política de
Seguridad
Gestión de Datos
Información
Personales.
planeación
alcanzarlos.
de
de
la
y
para
Definición de los objetivos del
ISMS
y
recursos
asignación
para
cubrir
de
los
dichos
objetivos.
contractuales, una vez que transcurra un
plazo de setenta y dos meses, contado a
partir de la fecha calendario en que se
presente el mencionado incumplimiento.
24
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Identificación
4
Contexto
de
la
Organización.
El responsable establecerá y documentará
13
Art. 38
caso, bloqueo y supresión de los datos
Gestión de Datos
Personales.
personales.
factores
internos y externos relevantes
para
la
organización,
involucradas
y
partes
alcance
del
ISMS.
Paso 2. Política de
procedimientos para la conservación y, en su
de
6.2
Objetivos
Seguridad
de
Información
planeación
de
la
Definición de los objetivos del
y
ISMS
para
alcanzarlos.
y
recursos
asignación
para
cubrir
de
los
dichos
objetivos.
Paso 7.
Implementación de
las Medidas de
Seguridad
Al responsable le corresponde demostrar que
14
Aplicables a los
los datos personales se conservan, o en su
Art. 39
caso, bloquean, suprimen o cancelan.
6.2
Objetivos
Seguridad
Datos Personales.
Información
Cumplimiento
planeación
Cotidiano de
alcanzarlos.
de
de
la
y
para
Definición de los objetivos del
ISMS
y
recursos
asignación
para
cubrir
de
los
dichos
objetivos.
Medidas de
Seguridad.
FINALIDAD
El tratamiento de datos personales deberá
15
limitarse al cumplimiento de las finalidades
previstas en el aviso de privacidad.
Art. 12
Art. 40
Paso 2. Política de
6.2
Objetivos
Art. 42
Gestión de Datos
Seguridad
Art. 43
Personales.
Información
de
de
Definición de los objetivos del
la
ISMS
y
recursos
y
asignación
para
cubrir
de
los
dichos
25
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Si el responsable pretende tratar los datos
planeación
para un fin distinto al establecido, deberá
alcanzarlos.
para
objetivos.
obtener nuevamente el consentimiento del
titular.
El titular podrá oponerse o revocar su
consentimiento para las finalidades distintas
a las que dieron origen a la relación jurídica,
sin que ello tenga como consecuencia la
conclusión del tratamiento.
PROPORCIONALIDAD
El tratamiento de datos personales será el
que resulte necesario, adecuado y relevante
6.2
en relación con las finalidades previstas en el
16
aviso de privacidad. En particular para datos
Art. 13
personales sensibles, el responsable deberá
Art. 45
Art. 46
Objetivos
Paso 2. Política de
Seguridad
Gestión de Datos
Información
Personales.
planeación
limitar el periodo de tratamiento al mínimo
de
de
la
y
para
alcanzarlos.
Definición de los objetivos del
ISMS
y
recursos
asignación
para
cubrir
de
los
dichos
objetivos.
indispensable.
CONFIDENCIALIDAD
La dirección debe establecer
El responsable o terceros que intervengan en
17
personales deberán guardar confidencialidad
respecto de éstos, obligación que subsistirá
aun después de finalizar sus relaciones con el
titular o, en su caso, con el responsable.
una política de seguridad de la
5.2 Política.
cualquier fase del tratamiento de datos
información
Paso 2. Política de
Art. 21
Art. 9
Gestión de Datos
Personales.
acorde
a
los
objetivos de la organización.
6.1.2 / 8.2 Evaluación
Se
de
de
riesgo en intervalos planeados
la
con base en una metodología
riesgos
Seguridad
Información.
de
realizan
evaluaciones
de
aceptada por la dirección.
26
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
6.1.3
/
8.3
Definición
Tratamiento
de
tratamiento
riesgos de Seguridad
acuerdo
de la Información.
realizada.
6.2
Objetivos
Seguridad
de
de
la
Información
y
planeación
para
alcanzarlos.
de
un
de
a
plan
de
riesgos
de
la
evaluación
Definición de los objetivos del
ISMS
y
recursos
asignación
para
de
cubrir
los
dichos
objetivos.
Actividades para conocer los
8.1
Planeación
y
Control Operacional.
requerimientos
en
cuanto
a
seguridad de la información y
alinear los planes al logro de
los objetivos del ISMS.
RESPONSABILIDAD
Identificación
El responsable tiene la obligación de velar y
4.
responder por el tratamiento de los datos
Contexto
Organización.
personales en su posesión, debiendo adoptar
Paso 2. Política de
El responsable deberá tomar las medidas
necesarias y suficientes para garantizar que el
la
factores
para
la
organización,
involucradas
y
del
Art. 14
Art. 47
Definición del compromiso y las
Gestión de Datos
Personales.
responsabilidades
5. Liderazgo.
de
Asignación
sea respetado en todo momento por él o
relevantes para el ISMS.
por terceros con los que guarde alguna
la
Dirección en un ISMS.
aviso de privacidad dado a conocer al titular,
relación jurídica.
partes
alcance
ISMS.
las medidas necesarias.
18
de
de
internos y externos relevantes
de
los
roles
Direccionamiento de riesgos y
6. Planeación.
oportunidades en lo que a
seguridad se refiere orientado
27
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
al
cumplimiento
de
los
objetivos de la organización.
Aprovisionamiento
de
7. Soporte.
los
apropiado
recursos
técnicos,
humanos y financieros para el
establecimiento del ISMS.
Proceso
para
actividades
8. Operación.
definir
para:
implementar,
las
planear,
monitorear
y
mejorar el ISMS.
Actividades
9.
Evaluación
del
desempeño.
para
evaluar
el
desempeño y la efectividad del
ISMS respecto a las métricas y
objetivos definidos.
Proceso a seguir para mejorar
10. Mejora.
lo adecuado del ISMS respecto
a los objetivos planeados.
Los responsables deberán adoptar medidas
19
para
garantizar
el
debido
tratamiento,
privilegiando los intereses del titular y la
expectativa razonable de privacidad.
Art. 14
Art. 48
6.1.2 / 8.2 Evaluación
Se
de
de
riesgo en intervalos planeados
la
con base en una metodología
riesgos
Paso 5. Realizar el
Seguridad
Análisis de Riesgo
Información.
de los Datos
Personales.
6.1.3
de
realizan
evaluaciones
de
aceptada por la dirección.
/
8.3
Definición
Tratamiento
de
tratamiento
riesgos de Seguridad
acuerdo
de la Información.
realizada.
de
un
de
a
la
plan
de
riesgos
de
evaluación
28
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Actividades para conocer los
8.1
Planeación
y
Control Operacional.
requerimientos
en
cuanto
a
seguridad de la información y
alinear los planes al logro de
los objetivos del ISMS.
La dirección debe establecer
una política de seguridad de la
5.2 Política.
Elaborar políticas y programas de privacidad
20
obligatorios y exigibles al interior de la
información
Art. 48 - I
organización.
Gestión de Datos
Personales.
6.2
Objetivos
Seguridad
de
de
la
Información
planeación
y
para
alcanzarlos.
ISMS
y
recursos
asignación
para
21
en
práctica
un
programa
de
del
personal
sobre
las
obligaciones
en
Paso 9. Mejora
Art. 48 - II
materia de protección de datos personales.
los
personal
ISMS
7.2 Competencia.
debe
aptitudes
acuerdo
Continua y
de
cubrir
los
dichos
objetivos.
asignados
capacitación, actualización, y concientización
a
Definición de los objetivos del
El
Poner
acorde
objetivos de la organización.
Paso 2. Política de
al
roles
que
sean
dentro
contar
con
apropiadas
al
nivel
del
las
de
de
Capacitación.
responsabilidad.
Capacitación.
Actividades para dar a conocer
7.3 Concientización.
en la organización el ISMS, la
política de seguridad y crear
compromiso de los empleados.
Establecer
22
un
sistema
de
supervisión
y
vigilancia interna, verificaciones o auditorías
externas para comprobar el cumplimiento de
las políticas de privacidad.
Actividades
Art. 48 - III
Paso 8. Revisiones y
Auditoría.
9.
Evaluación
desempeño.
del
para
evaluar
el
desempeño y la efectividad del
ISMS respecto a las métricas y
objetivos definidos.
29
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Proceso a seguir para mejorar
10. Mejora.
lo adecuado del ISMS respecto
a los objetivos planeados.
Paso 3. Establecer
23
Destinar recursos para la instrumentación de
los programas y políticas de privacidad.
Asignación
Funciones y
Art. 48 - IV
Obligaciones de
de
necesarios
7.1 Recursos.
para
y mejora del ISMS.
Identificación
4.
atienda el riesgo para la protección de datos
24
personales por la implementación de nuevos
Art. 48 - V
productos, servicios, tecnologías y modelos
Personales.
de negocios, así como para mitigarlos.
Contexto
de
la
Organización.
para
la
organización,
de
riesgo en intervalos planeados
la
con base en una metodología
riesgos
de
25
programas de seguridad para determinar las
modificaciones que se requieran.
Evaluación
desempeño.
y
Art. 48 - VI
del
de
9.
políticas
alcance
Se
realizan
Paso 8. Revisiones y
evaluaciones
de
aceptada por la dirección.
Actividades
las
y
partes
6.1.2 / 8.2 Evaluación
Información.
periódicamente
factores
ISMS.
Seguridad
Revisar
de
internos y externos relevantes
involucradas
Análisis de Riesgo
de los Datos
el
implementación, mantenimiento
Datos Personales.
Paso 5. Realizar el
recursos
establecimiento,
Quienes Traten
Instrumentar un procedimiento para que se
los
del
para
evaluar
el
desempeño y la efectividad del
ISMS respecto a las métricas y
objetivos definidos.
Auditoría.
Proceso a seguir para mejorar
10. Mejora.
lo adecuado del ISMS respecto
a los objetivos planeados.
30
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Identificación
Paso 7.
Implementación de
las Medidas de
Establecer
26
procedimientos
para
recibir
Seguridad
y
responder dudas y quejas de los titulares de
Art. 48 - VII
los datos personales.
4.
Contexto
de
la
Organización.
factores
internos y externos relevantes
para
la
organización,
involucradas
y
partes
alcance
del
ISMS.
Aplicables a los
Datos Personales.
de
6.2
Objetivos
Cumplimiento
Seguridad
Cotidiano de
Información
Medidas de
planeación
Seguridad.
alcanzarlos.
de
de
la
y
para
Definición de los objetivos del
ISMS
y
recursos
asignación
para
cubrir
de
los
dichos
objetivos.
La dirección debe demostrar
5.1
Liderazgo
y
compromiso.
compromiso
dentro
del
establecimiento,
implementación, mantenimiento
y mejora al ISMS.
La dirección debe establecer
Disponer
27
de
mecanismos
para
el
cumplimiento de las políticas y programas de
privacidad, así como de sanciones por su
incumplimiento.
Paso 3. Funciones y
Art. 48 - VIII
una política de seguridad de la
5.2 Política.
información
Quienes Traten
Datos Personales.
acorde
a
los
objetivos de la organización.
Obligaciones de
6.2
Objetivos
Seguridad
de
de
la
Información
planeación
y
para
alcanzarlos.
Definición de los objetivos del
ISMS
y
recursos
asignación
para
cubrir
de
los
dichos
objetivos.
Actividades para dar a conocer
7.3 Concientización.
en la organización el ISMS, la
política de seguridad y crear
compromiso de los empleados.
31
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
La dirección debe establecer
una política de seguridad de la
5.2 Política.
información
acorde
a
los
objetivos de la organización.
6.1.2 / 8.2 Evaluación
Se
de
de
riesgo en intervalos planeados
la
con base en una metodología
riesgos
Seguridad
de
Información.
Establecer medidas para el aseguramiento de
Paso 6.
los datos personales, es decir, un conjunto
28
de acciones técnicas y administrativas que
permitan garantizar al responsable el
Identificación de las
Art. 48 - IX
medidas de
seguridad y Análisis
cumplimiento de los principios y obligaciones
de Brecha.
que establece la Ley y su Reglamento.
6.1.3
realizan
8.3
Definición
Tratamiento
de
tratamiento
riesgos de Seguridad
acuerdo
de la Información.
realizada.
Objetivos
Seguridad
de
aceptada por la dirección.
/
6.2
evaluaciones
de
de
la
Información
y
planeación
para
alcanzarlos.
de
un
de
a
plan
de
riesgos
de
la
evaluación
Definición de los objetivos del
ISMS
y
recursos
asignación
para
de
cubrir
los
dichos
objetivos.
Actividades para conocer los
8.1
Planeación
y
Control Operacional.
requerimientos
en
cuanto
a
seguridad de la información y
alinear los planes al logro de
los objetivos del ISMS.
Establecer medidas para la trazabilidad de los
29
datos personales, es decir acciones, medidas
y procedimientos técnicos que
permiten
rastrear a los datos personales durante su
Paso 6.
Art. 48 - X
Identificación de las
medidas de
seguridad y Análisis
6.1.2 / 8.2 Evaluación
Se
de
de
riesgo en intervalos planeados
la
con base en una metodología
riesgos
Seguridad
Información.
de
realizan
evaluaciones
de
aceptada por la dirección.
32
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
tratamiento.
de Brecha.
Identificador y
nombre
Descripción
Objetivo de Control
6.1.3
/
8.3
Definición
Tratamiento
de
tratamiento
riesgos de Seguridad
acuerdo
de la Información.
realizada.
de
un
de
a
la
plan
de
riesgos
de
evaluación
Actividades para conocer los
8.1
Planeación
y
Control Operacional.
requerimientos
en
cuanto
a
seguridad de la información y
alinear los planes al logro de
los objetivos del ISMS.
La dirección debe demostrar
Paso 7.
Implementación de
Todo responsable deberá designar a una
persona,
o
personales,
30
departamento
quien
dará
de
las Medidas de
datos
trámite
a
Liderazgo
y
compromiso.
Datos Personales.
de los derechos a que se refiere la Ley.
Cumplimiento
Asimismo fomentará la protección de datos
Cotidiano de
personales al interior de la organización.
Medidas de
Seguridad.
dentro
del
establecimiento,
y mejora al ISMS.
Aplicables a los
Art. 30
compromiso
implementación, mantenimiento
Seguridad
las
solicitudes de los titulares, para el ejercicio
5.1
La dirección realiza actividades
5.3
Roles,
responsabilidades,
y
para asegurar que los roles y
responsabilidades en cuanto a
autoridades
seguridad de la información
organizacionales.
sean correctamente asignados y
comunicados.
SEGURIDAD
Todo
responsable
tratamiento
de
que
datos
lleve
a
personales
La dirección debe establecer
cabo
deberá
Paso 6.
establecer y mantener medidas de seguridad
31
administrativas,
permitan
técnicas
proteger
los
y
datos
físicas
que
personales
contra daño, pérdida, alteración, destrucción
o el uso, acceso o tratamiento no autorizado.
Art. 19
Art. 4
Identificación de las
Art. 9
medidas de
Art. 57
seguridad y Análisis
de Brecha.
una política de seguridad de la
5.2 Política.
información
acorde
a
los
objetivos de la organización.
6.1.2 / 8.2 Evaluación
Se
de
de
riesgo en intervalos planeados
la
con base en una metodología
riesgos
Seguridad
de
realizan
evaluaciones
de
33
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Información.
No
adoptarán
medidas
de
aceptada por la dirección.
seguridad
menores a aquellas que mantengan para el
6.1.3
manejo de su información.
Cuando el encargado se encuentre ubicado
en territorio mexicano, le serán aplicables las
/
8.3
Definición
Tratamiento
de
tratamiento
riesgos de Seguridad
acuerdo
de la Información.
realizada.
6.2
disposiciones relativas a las medidas de
Objetivos
Seguridad
seguridad contenidas en el Capítulo III de
de
de
la
Información
Reglamento.
y
planeación
para
alcanzarlos.
de
un
de
a
plan
de
riesgos
de
la
evaluación
Definición de los objetivos del
ISMS
y
recursos
asignación
para
de
cubrir
los
dichos
objetivos.
Actividades para conocer los
8.1
Planeación
y
Control Operacional.
requerimientos
en
cuanto
a
seguridad de la información y
alinear los planes al logro de
los objetivos del ISMS.
Identificación
El responsable determinará las medidas de
seguridad aplicables a los datos personales
4.
que trate, considerando el riesgo existente,
Paso 5. Realizar el
las posibles consecuencias para los titulares,
32
la sensibilidad de los datos y el desarrollo
tecnológico.
De
manera
Art. 19
Art. 60
adicional,
el
responsable
de
la
Organización.
de los Datos
factores
internos y externos relevantes
para
la
organización,
involucradas
Análisis de Riesgo
Personales.
procurará tomar en cuenta los siguientes
Contexto
de
y
partes
alcance
del
ISMS.
6.1.2 / 8.2 Evaluación
Se
de
de
riesgo en intervalos planeados
la
con base en una metodología
riesgos
Seguridad
Información.
de
realizan
evaluaciones
de
aceptada por la dirección.
34
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
elementos:
II. Las vulnerabilidades previas ocurridas en
riesgo
por
el
valor
Descripción
/
8.3
Tratamiento
de
riesgos de Seguridad
los sistemas de tratamiento;
El
nombre
Objetivo de Control
6.1.3
I. El número de titulares;
III.
Identificador y
de la Información.
potencial
Definición
de
tratamiento
acuerdo
un
de
a
la
plan
de
riesgos
de
evaluación
realizada.
cuantitativo o cualitativo que pudieran tener
los datos personales tratados para una
tercera
persona
no
autorizada
para
Actividades para conocer los
su
8.1
posesión, y
Planeación
y
Control Operacional.
IV. Demás factores que puedan incidir en el
requerimientos
en
cuanto
a
seguridad de la información y
alinear los planes al logro de
nivel de riesgo o que resulten de otras leyes
los objetivos del ISMS.
o regulación aplicable al responsable.
33
Elaborar un inventario de datos personales y
de los sistemas de tratamiento.
Paso 4. Elaborar un
Art. 61 - I
Inventario de Datos
Personales.
7.5
Información
documentada.
Toda la información relacionada
al ISMS debe ser documentada
La dirección debe demostrar
5.1
Liderazgo
y
compromiso.
Determinar las funciones y obligaciones de
las personas que traten datos personales.
La dirección debe establecer
Obligaciones de
Quienes Traten
del
y mejora al ISMS.
Funciones y
Art. 61 - II
dentro
establecimiento,
implementación, mantenimiento
Paso 3. Establecer
34
compromiso
una política de seguridad de la
5.2 Política.
información
Datos Personales.
acorde
a
los
objetivos de la organización.
5.3
Roles,
responsabilidades,
autoridades
y
La dirección realiza actividades
para asegurar que los roles y
responsabilidades en cuanto a
35
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
organizacionales.
seguridad de la información
sean correctamente asignados y
comunicados.
35
Contar con un análisis de riesgos de datos
Paso 5. Realizar el
6.1.2 / 8.2 Evaluación
Se
personales
Análisis de Riesgo
de
de
riesgo en intervalos planeados
la
con base en una metodología
que
consiste
en
identificar
peligros y estimar los riesgos a los datos
Art. 61 - III
personales.
de los Datos
Personales.
Seguridad
Paso 6.
36
las
medidas
de
seguridad
aplicables a los datos personales e identificar
Identificación de las
Art. 61 - IV
aquéllas implementadas de manera efectiva.
de
Información.
6.1.3
Establecer
riesgos
de Brecha.
evaluaciones
de
aceptada por la dirección.
/
8.3
Definición
Tratamiento
de
tratamiento
riesgos de Seguridad
acuerdo
de la Información.
realizada.
medidas de
seguridad y Análisis
realizan
de
un
de
a
plan
de
riesgos
de
la
evaluación
Actividades para conocer los
8.1
Planeación
y
Control Operacional.
requerimientos
en
cuanto
a
seguridad de la información y
alinear los planes al logro de
los objetivos del ISMS.
37
Realizar el análisis de brecha que consiste en
Paso 6.
la diferencia de las medidas de seguridad
Identificación de las
existentes y aquéllas faltantes que resultan
Art. 61 - V
necesarias para la protección de los datos
medidas de
seguridad y Análisis
personales.
de Brecha.
Paso 7.
Implementación de
Elaborar
38
un
plan
de
trabajo
para
la
implementación de las medidas de seguridad
faltantes, derivadas del análisis de brecha.
las Medidas de
Art. 61 - VI
Seguridad
Aplicables a los
Datos Personales.
Plan de Trabajo
6.1.3
/
8.3
Definición
Tratamiento
de
tratamiento
riesgos de Seguridad
acuerdo
de la Información.
realizada.
6.1.3
/
8.3
Definición
Tratamiento
de
tratamiento
riesgos de Seguridad
acuerdo
de la Información.
realizada.
8.1
Planeación
Control Operacional.
y
de
un
de
a
plan
de
riesgos
de
la
de
un
de
a
evaluación
la
plan
de
riesgos
de
evaluación
Actividades para conocer los
requerimientos
en
cuanto
a
seguridad de la información y
36
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
para la
alinear los planes al logro de
Implementación de
los objetivos del ISMS.
las Medidas de
Seguridad Faltantes.
Actividades
9.
39
Llevar a cabo revisiones o auditorías.
Art. 61 - VII
Paso 8. Revisiones y
Evaluación
del
desempeño.
para
evaluar
el
desempeño y la efectividad del
ISMS respecto a las métricas y
objetivos definidos.
Auditoría.
Proceso a seguir para mejorar
10. Mejora.
lo adecuado del ISMS respecto
a los objetivos planeados.
El
personal
asignados
Paso 9. Mejora
40
Capacitar
al
personal
que
efectúe
el
tratamiento de datos personales.
Art. 61 - VIII
7.2 Competencia.
ISMS
debe
aptitudes
acuerdo
Continua y
al
roles
que
dentro
contar
con
apropiadas
al
nivel
sean
del
las
de
de
Capacitación.
responsabilidad.
Capacitación.
Actividades para dar a conocer
7.3 Concientización.
en la organización el ISMS, la
política de seguridad y crear
compromiso de los empleados.
Paso 5. Realizar el
41
Realizar un
registro de
los medios de
almacenamiento de los datos personales.
Análisis de Riesgo
Art. 61 - IX
de los Datos
Personales.
7.5
Información
documentada.
Toda la información relacionada
al ISMS debe ser documentada.
37
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
3. Acciones a
42
Contar con una relación de las medidas de
seguridad.
implementar para la
Art. 61
seguridad de los
datos personales
7.5
Información
documentada.
Toda la información relacionada
al ISMS debe ser documentada.
documentadas.
Actualizar las medidas de seguridad cuando:
Proceso
8. Operación.
I. Se modifiquen las medidas o procesos de
Actividades
del responsable.
9.
II. Se produzcan modificaciones sustanciales
desempeño.
Evaluación
en el tratamiento que deriven en un cambio
III. Se vulneren los sistemas de tratamiento,
las
planear,
monitorear
y
mejorar el ISMS
de las revisiones a la política de seguridad
43
definir
para:
implementar,
seguridad para su mejora continua, derivado
del nivel de riesgo.
para
actividades
del
para
evaluar
el
desempeño y la efectividad del
ISMS respecto a las métricas y
objetivos definidos.
Art. 62
Paso 8. Revisiones y
Auditoría.
de conformidad con lo dispuesto en el
artículo 20 de la Ley y 63 de su Reglamento.
IV.
Exista
una
afectación
a
los
Proceso a seguir para mejorar
datos
10. Mejora.
personales distinta a las anteriores.
lo adecuado del ISMS respecto
a los objetivos planeados.
En el caso de datos personales sensibles, los
responsables procurarán revisar y, en su caso,
actualizar las relaciones correspondientes una
vez al año.
VULNERACIONES A LA SEGURIDAD
38
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Las vulneraciones de seguridad ocurridas en
cualquier fase del tratamiento que afecten de
Paso 8. Revisiones y
forma significativa los derechos patrimoniales
44
o morales de los titulares, serán informadas
de forma inmediata por el responsable al
Art. 20
Art. 63
Art. 64
titular, a fin de que este último pueda tomar
Determinar las actividades de
Auditoría.
Vulneraciones a la
comunicación necesarias a las
7.4 Comunicación.
partes
Seguridad de la
internos
Información.
las medidas correspondientes a la defensa de
relevantes
o
ya
externos
sean
a
la
organización.
sus derechos.
En caso de que ocurra una vulneración a la
seguridad
de
los
datos
personales,
el
responsable deberá informar al titular al
menos lo siguiente:
I. La naturaleza del incidente.
45
II. Los datos personales comprometidos.
III. Las recomendaciones al titular acerca de
Art. 65
Paso 8. Revisiones y
Determinar las actividades de
Auditoría.
comunicación necesarias a las
Vulneraciones a la
7.4 Comunicación.
partes
Seguridad de la
las medidas que éste pueda adoptar para
internos
Información.
proteger sus intereses.
relevantes
o
ya
externos
sean
a
la
evaluar
el
organización.
IV. Las acciones correctivas realizadas de
forma inmediata.
V. Los medios donde puede obtener más
información al respecto.
En caso de que ocurra una vulneración a los
46
datos
personales,
el responsable
deberá
analizar las causas por las cuales se presentó
e
implementar
las
acciones
correctivas,
Paso 8. Revisiones y
Art. 66
Auditoría.
Vulneraciones a la
Seguridad de la
Actividades
9.
Evaluación
desempeño.
del
para
desempeño y la efectividad del
ISMS respecto a las métricas y
objetivos definidos
39
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
preventivas y de mejora para adecuar las
Identificador y
nombre
Descripción
Objetivo de Control
Información.
medidas de seguridad correspondientes, a
Proceso a seguir para mejorar
10. Mejora.
efecto de evitar que la vulneración se repita.
lo adecuado del ISMS respecto
a los objetivos planeados.
ENCARGADO
El
encargado
tendrá
las
siguientes
La dirección debe establecer
obligaciones respecto del tratamiento que
una política de seguridad de la
5.2 Política.
realice por cuenta del responsable:
información
acorde
a
los
objetivos de la organización.
47
I. Tratar únicamente los datos personales
6.1.2 / 8.2 Evaluación
Se
conforme a las instrucciones del responsable.
de
de
riesgo en intervalos planeados
II. Abstenerse de tratar los datos personales
Seguridad
la
con base en una metodología
para finalidades distintas a las instruidas por
Información.
el responsable.
6.1.3
/
8.3
Definición
III. Implementar las medidas de seguridad
Tratamiento
de
tratamiento
conforme a la Ley, su Reglamento y las
riesgos de Seguridad
acuerdo
de la Información.
realizada.
demás disposiciones aplicables.
IV. Guardar confidencialidad respecto de los
Art. 50
1. Recomendación
General.
6.2
riesgos
de
Seguridad
V. Suprimir los datos personales objeto de
Información
tratamiento una vez cumplida la relación
planeación
jurídica
alcanzarlos.
con
el
responsable
o
por
evaluaciones
de
aceptada por la dirección.
Objetivos
datos personales tratados.
realizan
de
de
la
y
para
instrucciones del responsable, siempre y
8.1
cuando no exista una previsión legal que
Control Operacional.
Planeación
y
de
un
de
a
plan
de
riesgos
de
la
evaluación
Definición de los objetivos del
ISMS
y
recursos
asignación
para
de
cubrir
los
dichos
objetivos.
Actividades para conocer los
requerimientos
en
cuanto
a
exija la conservación de los datos personales.
seguridad de la información y
VI.
alinear los planes al logro de
Abstenerse
de
transferir
los
datos
personales salvo en el caso de que el
responsable
así
lo
determine,
los objetivos del ISMS.
la
comunicación derive de una subcontratación,
40
N°
Requerimiento normativo
o
cuando
así
lo
requiera
la
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
autoridad
competente.
SUBCONTRATACIONES
Paso 7.
Implementación de
La
48
relación
entre
el
responsable
y
el
las Medidas de
encargado deberá estar establecida mediante
Seguridad
cláusulas contractuales u otro instrumento
Aplicables a los
jurídico que decida el responsable, que
Art. 51
Datos Personales.
permita acreditar su existencia, alcance y
Cumplimiento
contenido.
Cotidiano de
6.2
Objetivos
Seguridad
de
Información
de
la
y
planeación
para
alcanzarlos.
Definición de los objetivos del
ISMS
y
recursos
asignación
para
cubrir
de
los
dichos
objetivos.
Medidas de
Seguridad.
Toda subcontratación de servicios por parte
del encargado que implique el tratamiento
de datos personales deberá ser autorizada
Paso 7.
por el responsable, y se realizará en nombre
Implementación de
y por cuenta de este último.
Una
49
vez
obtenida
la
las Medidas de
autorización,
el
Seguridad
encargado deberá formalizar la relación con
Art. 54
Aplicables a los
el
Art. 55
Datos Personales.
subcontratado
a
través
de
cláusulas
contractuales u otro instrumento jurídico que
Cumplimiento
permita acreditar su existencia, alcance y
Cotidiano de
contenido.
Medidas de
En caso de que la subcontratación no haya
Seguridad.
6.2
Objetivos
Seguridad
Información
planeación
alcanzarlos.
de
de
la
y
para
Definición de los objetivos del
ISMS
y
recursos
asignación
para
cubrir
de
los
dichos
objetivos.
sido prevista en cláusulas contractuales, el
encargado deberá obtener la autorización
41
N°
Requerimiento normativo
correspondiente
del
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
responsable
previamente.
La
obligación
de
acreditar
que
la
subcontratación se realizó con autorización
del responsable corresponderá al encargado.
CÓMPUTO EN LA NUBE
Para el tratamiento de datos personales en
La dirección debe establecer
servicios, aplicaciones e infraestructura en el
denominado cómputo en la nube, en los que
una política de seguridad de la
5.2 Política.
información
el responsable se adhiera a los mismos
mediante condiciones o cláusulas generales
Paso 7.
de contratación, sólo podrá utilizar aquellos
Implementación de
servicios en los que el proveedor cumpla, al
las Medidas de
menos, con lo siguiente:
50
a) Tener y aplicar políticas de protección de
Seguridad
Art. 52 - I
Aplicables a los
Datos Personales.
datos personales afines a los principios y
Cumplimiento
deberes aplicables que establece la Ley y su
Cotidiano de
Reglamento;
Medidas de
a
los
6.1.2 / 8.2 Evaluación
Se
de
de
riesgo en intervalos planeados
la
con base en una metodología
riesgos
Seguridad
de
Información.
6.1.3
realizan
evaluaciones
de
aceptada por la dirección.
/
8.3
Definición
b) Transparentar las subcontrataciones que
Tratamiento
de
tratamiento
involucren la información sobre la que se
riesgos de Seguridad
acuerdo
presta el servicio;
de la Información.
realizada.
Seguridad.
acorde
objetivos de la organización.
de
un
de
a
la
plan
de
riesgos
de
evaluación
42
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
c) Abstenerse de incluir condiciones en la
prestación del servicio que le autoricen o
6.2
permitan asumir la titularidad o propiedad de
Seguridad
Objetivos
la información sobre la que presta el servicio,
Información
y
planeación
de
de
la
y
para
alcanzarlos.
Definición de los objetivos del
ISMS
y
recursos
asignación
para
de
cubrir
los
dichos
objetivos.
d) Guardar confidencialidad respecto de los
datos personales sobre los que se preste el
Actividades para conocer los
servicio.
8.1
Planeación
y
Control Operacional.
requerimientos
en
cuanto
a
seguridad de la información y
alinear los planes al logro de
los objetivos del ISMS.
La dirección debe establecer
Para el tratamiento de datos personales en
servicios, aplicaciones e infraestructura en el
Paso 7.
denominado cómputo en la nube, en los que
Implementación de
el responsable se adhiera a los mismos
51
Seguridad
de contratación, sólo podrá utilizar aquellos
Aplicables a los
mecanismos, al menos, para:
Art. 52 - II
Datos Personales.
Se
de
riesgo en intervalos planeados
la
con base en una metodología
riesgos
Seguridad
de
6.1.3
Seguridad.
los
de
Cotidiano de
privacidad o condiciones del servicio que
a
6.1.2 / 8.2 Evaluación
Información.
Medidas de
acorde
objetivos de la organización.
Cumplimiento
a) Dar a conocer cambios en sus políticas de
presta;
información
las Medidas de
mediante condiciones o cláusulas generales
servicios en los que el proveedor cuente con
una política de seguridad de la
5.2 Política.
realizan
evaluaciones
de
aceptada por la dirección.
/
8.3
Definición
Tratamiento
de
tratamiento
riesgos de Seguridad
acuerdo
de la Información.
realizada.
de
un
de
a
la
plan
de
riesgos
de
evaluación
43
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
6.2
Objetivos
b) Permitir al responsable limitar el tipo de
Seguridad
tratamiento de los datos personales sobre los
Información
que se presta el servicio;
planeación
de
de
la
y
para
alcanzarlos.
c)
Establecer
y
mantener
medidas
Definición de los objetivos del
ISMS
y
recursos
asignación
para
de
cubrir
los
dichos
objetivos.
de
seguridad adecuadas para la protección de
los datos personales sobre los que se preste
el servicio;
d) Garantizar la supresión de los datos
Actividades para conocer los
personales una vez que haya concluido el
servicio prestado al responsable, y que este
8.1
último haya podido recuperarlos, y
Control Operacional.
Planeación
y
requerimientos
en
cuanto
a
seguridad de la información y
alinear los planes al logro de
los objetivos del ISMS.
e) Impedir el acceso a los datos personales a
personas que no cuenten con privilegios de
acceso, o bien en caso de que sea a solicitud
fundada
y
competente,
motivada
informar
de
de
autoridad
ese
hecho
al
responsable.
TRANSFERENCIAS
Cuando el responsable pretenda transferir los
Art. 68
datos personales a terceros nacionales o
52
extranjeros, distintos del encargado, deberá
comunicar a éstos el aviso de privacidad y las
finalidades a las que el titular sujetó su
Art. 36
Art. 71
Art. 72
Art. 74
Paso 7.
Implementación de
las Medidas de
Seguridad
Aplicables a los
Identificación
4.
Contexto
Organización.
de
la
de
factores
internos y externos relevantes
para
la
organización,
involucradas
y
partes
alcance
del
ISMS.
44
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
tratamiento.
Identificador y
nombre
Datos Personales.
El tratamiento de los datos se hará conforme
Cumplimiento
a lo convenido en el aviso de privacidad, el
Cotidiano de
6.2
cual contendrá una cláusula en la que se
Medidas de
Seguridad
indique
Seguridad.
Información
si
Descripción
Objetivo de Control
el
titular
acepta
o
no
la
Objetivos
transferencia de sus datos, de igual manera,
planeación
el tercero receptor, asumirá las mismas
alcanzarlos.
obligaciones
que
correspondan
de
de
la
y
para
Definición de los objetivos del
ISMS
y
recursos
asignación
para
cubrir
de
los
dichos
objetivos.
al
responsable que transfirió los datos.
Paso 7.
Para
efectos
transferencia,
de
demostrar
sea
ésta
que
la
nacional
o
Implementación de
las Medidas de
Seguridad
internacional, se realiza conforme a lo que
53
establece la Ley y su Reglamento, la carga de
la prueba recaerá, en todos los casos, en el
responsable que transfiere y en el receptor
de los datos personales.
Art. 69
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
6.2
Objetivos
Seguridad
Información
planeación
alcanzarlos.
de
de
la
y
para
Definición de los objetivos del
ISMS
y
recursos
asignación
para
cubrir
de
los
dichos
objetivos.
Medidas de
Seguridad.
45
N°
Requerimiento normativo
En
el caso de
transferencias
de
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
datos
personales entre sociedades controladoras,
subsidiarias o afiliadas bajo el control común
del mismo grupo del responsable, o a una
sociedad matriz o a cualquier sociedad del
mismo grupo del responsable, el mecanismo
La dirección debe establecer
para garantizar que el receptor de los datos
54
personales cumplirá con las disposiciones
Art. 70
previstas en la Ley, su Reglamento y demás
1. Recomendación
General
una política de seguridad de la
5.2 Política.
información
acorde
a
los
objetivos de la organización.
normativa aplicable, podrá ser la existencia
de normas internas de protección de datos
personales cuya observancia sea vinculante,
siempre y cuando éstas cumplan con lo
establecido en la Ley, su
Reglamento y
demás normativa aplicable.
Paso 7.
Implementación de
La
transferencia
deberá
formalizarse
las Medidas de
mediante algún mecanismo que permita
55
Seguridad
demostrar que el responsable transferente
Art. 73
Aplicables a los
comunicó
Art. 75
Datos Personales.
al
responsable
receptor
las
condiciones en las que el titular consintió el
Cumplimiento
tratamiento de sus datos personales.
Cotidiano de
6.2
Objetivos
Seguridad
Información
planeación
alcanzarlos.
de
de
la
y
para
Definición de los objetivos del
ISMS
y
recursos
asignación
para
cubrir
de
los
dichos
objetivos.
Medidas de
Seguridad.
46
4.2 ISO/IEC 27002:2013, Information Technology - Security techniques – Code of practice for
security management.
Introducción. . El ISO 27002:2013 es el código de prácticas de seguridad de la información el cual tiene como objetivo
proveer una guía para la implementación de controles para el Sistema de Gestión de Seguridad de la Información ISO
27001.
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
RESPONSABLE
5
Políticas
Seguridad
de
de
la
Información.
Recomendaciones
6
seguridad de
personales, deberán observar los principios
1
de
licitud,
consentimiento,
información,
calidad, finalidad, lealtad, proporcionalidad y
responsabilidad, previstos en la Ley.
Art. 6
Art. 9
1. Recomendación
la
información
para un ISMS.
Organización
Seguridad
el
establecimiento de políticas de
Actividades
Los responsables en el tratamiento de datos
para
de
para
el
de
establecimiento de un marco
la
para la gestión de la seguridad
Información.
de la información a través de la
organización.
General.
Prácticas de seguridad de la
7
Seguridad
de
Recursos Humanos.
información
relacionadas
al
control de recursos humanos
internos y externos.
Actividades para el control de
8 Gestión de Activos.
activos de información dentro
del alcance de un ISMS.
47
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Prácticas para el control de
acceso
9 Control de Acceso.
a
los
información
o
activos
de
información
dentro del alcance de un ISMS.
Lineamientos para la protección
10 Criptografía.
de la información por medios
criptográficos.
11 Seguridad Física y
Ambiental.
Actividades para la prevención
de eventos que pueden dañar
los activos de información.
Prácticas
para
asegurar
el
12 Seguridad en las
apropiado control y seguridad
operaciones.
sobre
los
activos
de
procesamiento.
Prácticas
para
asegurar
el
13 Seguridad en las
apropiado control y seguridad
Comunicaciones.
sobre
los
activos
de
para
el
comunicación.
14
Adquisición,
desarrollo
y
mantenimiento
de
Sistemas.
15
Relacionamiento
Gestión
Incidentes
Seguridad
aseguramiento del siclo de vida
desarrollo,
mantenimiento
o
adquisición de sistemas.
con los Proveedores.
16
Actividades
de
Prácticas para la administración
de
la
seguridad
de
la
información con proveedores.
de
Actividades para la gestión de
de
incidentes de seguridad de la
la
información.
48
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Información.
17
Aspectos
Seguridad
de
Información
de
Gestión
de
Continuidad
de
la
la
la
de
Actividades
para
el
establecimiento de un plan de
continuidad del negocio.
Negocios.
Actividades para el monitoreo
del cumplimiento respecto al
18 Cumplimiento.
sistema
de
gestión
de
seguridad.
LICITUD Y LEALTAD
2
Los datos personales deberán recabarse y
18.1.1
tratarse de manera lícita, privilegiando la
de
protección de los intereses del titular y la
aplicable
expectativa
requerimientos
razonable
de
privacidad,
sin
importar la fuente de la que se obtienen los
datos.
Art. 7
Art. 7
Art. 10
Art. 44
Paso 1. Alcance y
Objetivos.
Identificación
legislación
y
Privacidad
protección
La obtención de datos personales no debe
hacerse a través de medios engañosos o
fraudulentos.
formalización de requerimientos
regulatorios,
legales
y
contractuales.
contractuales.
18.1.4
Proceso para la identificación y
y
de
Actividades
brechas
Información Personal
seguridad
Identificable.
personal
para
prevenir
relacionadas
de
a
la
información
CONSENTIMIENTO
El tratamiento de datos personales estará
Art. 11
sujeto al consentimiento de su titular, salvo
3
las excepciones previstas por la Ley.
Los
datos
financieros
o
patrimoniales
Art. 8
Art. 12
Art. 15
18.1.1
Paso 2. Política de
de
Gestión de Datos
aplicable
Personales.
Identificación
legislación
requerimientos
contractuales.
y
Proceso para la identificación y
formalización de requerimientos
regulatorios,
legales
y
contractuales.
49
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
requerirán consentimiento expreso de su
titular.
18.1.4
Privacidad
protección
Cuando los datos personales se obtengan
personalmente o de manera directa de su
titular, el consentimiento deberá ser previo al
y
de
Actividades
brechas
Información Personal
seguridad
Identificable.
personal
para
prevenir
relacionadas
de
a
la
información
tratamiento.
18.1.1
Identificación
de
legislación
aplicable
El responsable
4
deberá
facilitar al titular
medios sencillos y gratuitos para manifestar
Art. 8
Art. 16
su consentimiento expreso.
y
Paso 2. Política de
requerimientos
Gestión de Datos
contractuales.
Personales.
18.1.4
Privacidad
protección
titular
5
para
su
tratamiento.
No podrán crearse bases de datos que
contengan datos personales sensibles, sin
que se justifique la creación de las mismas
para
finalidades
legítimas,
concretas
y
acordes con las actividades o fines explícitos
Identificación
legislación
aplicable
consentimiento expreso y por escrito del
Paso 2. Política de
Art. 9
Art. 56
Gestión de Datos
y
de
Actividades
brechas
personal
responsable
legales
y
contractuales.
seguridad
de
el
regulatorios,
Identificable.
18.1.1
obtener
formalización de requerimientos
Información Personal
Tratándose de datos personales sensibles, el
deberá
Proceso para la identificación y
y
requerimientos
contractuales.
para
prevenir
relacionadas
de
a
la
información
Proceso para la identificación y
formalización de requerimientos
regulatorios,
legales
y
contractuales.
Actividades para la protección
Personales.
18.1.3 Protección de
registros.
de registros de acuerdo a las
regulaciones,
legislaciones,
contratos y requerimientos de
negocio vigentes.
50
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
que persigue el sujeto regulado.
Identificador y
nombre
Descripción
Objetivo de Control
18.1.4
Privacidad
protección
y
de
Actividades
brechas
Información Personal
seguridad
Identificable.
personal
para
prevenir
relacionadas
de
a
la
información
Paso 7.
Implementación de
las Medidas de
Para efectos de demostrar la obtención del
6
consentimiento,
recaerá,
en
la
carga
todos
los
de
la
casos,
Seguridad
prueba
en
Art. 20
el
responsable.
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
18.1.1
de
Identificación
legislación
aplicable
y
requerimientos
Proceso para la identificación y
formalización de requerimientos
regulatorios,
legales
y
contractuales.
contractuales.
Medidas de
Seguridad.
INFORMACIÓN
A
través
del
aviso
de
privacidad,
el
responsable tendrá la obligación de informar
a los titulares, los datos que recaba, las
finalidades necesarias y las que no lo son
para
7
la
relación
jurídica,
así
como
las
características principales de su tratamiento.
Cuando se traten datos personales como
parte de un proceso de toma de decisiones
sin que intervenga la valoración de una
persona
física,
el
responsable
Art. 14
Art. 15
Art. 23
Art. 112
18.1.1
Paso 2. Política de
de
Gestión de Datos
aplicable
Personales.
Identificación
legislación
requerimientos
contractuales.
y
Proceso para la identificación y
formalización de requerimientos
regulatorios,
legales
y
contractuales.
deberá
informar al titular que esta situación ocurre.
51
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Si obtiene los datos de manera automática,
deberá informar al titular sobre el uso de
estas tecnologías y la forma en que podrá
deshabilitarlas.
Paso 7.
Implementación de
Cuando los datos personales sean obtenidos
directamente
8
del
titular,
el
aviso
las Medidas de
de
Seguridad
privacidad debe ponerse a disposición de los
Art. 3, I
titulares a través de formatos impresos,
Art. 17
Art. 27
Aplicables a los
Datos Personales.
digitales, visuales, sonoros o cualquier otra
Cumplimiento
tecnología.
Cotidiano de
18.1.1
de
Identificación
legislación
aplicable
y
requerimientos
Proceso para la identificación y
formalización de requerimientos
regulatorios,
legales
y
contractuales.
contractuales.
Medidas de
Seguridad.
Paso 7.
El aviso de privacidad
debe contener un
mecanismo,
el
para
que
titular
Implementación de
las Medidas de
pueda
manifestar su negativa al tratamiento de sus
9
datos
personales.
Cuando
los
datos
se
obtengan de manera indirecta del titular, el
responsable deberá darle a conocer el aviso
de privacidad y sus cambios.
Art. 14
Art. 18
Art. 29
Art. 32
Seguridad
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
18.1.1
de
Identificación
legislación
aplicable
requerimientos
contractuales.
y
Proceso para la identificación y
formalización de requerimientos
regulatorios,
legales
y
contractuales.
Medidas de
Seguridad
52
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
Implementación de
las Medidas de
Para efectos de demostrar la puesta a
disposición
10
del
aviso
de
privacidad
Seguridad
en
cumplimiento del principio de información, la
Art. 31
carga de la prueba recaerá, en todos los
Aplicables a los
Datos Personales.
Cumplimiento
casos, en el responsable.
Cotidiano de
18.1.1
Identificación
de
legislación
aplicable
y
requerimientos
Proceso para la identificación y
formalización de requerimientos
regulatorios,
legales
y
contractuales.
contractuales.
Medidas de
Seguridad.
CALIDAD
Actividades para la protección
18.1.3 Protección de
El responsable procurará que los datos
personales contenidos en las bases de datos
11
sean
exactos,
completos,
pertinentes,
correctos y actualizados según se requiera
Paso 2. Política de
Art. 11
Art. 36
el
cumplimiento de las finalidades previstas por
12
el aviso de privacidad y las disposiciones
Art. 3 III
legales aplicables, deberán ser cancelados,
Art. 11
previo bloqueo de los mismos.
El responsable de la base de datos estará
Paso 2. Política de
Art. 37
Gestión de Datos
Personales.
brechas
personal
de
para
de
Actividades
Identificable.
dejado
necesarios
y
seguridad
18.1.1
ser
Privacidad
Información Personal
Cuando los datos de carácter personal hayan
de
legislaciones,
negocio vigentes.
18.1.4
protección
cual son tratados.
regulaciones,
contratos y requerimientos de
Gestión de Datos
Personales.
para el cumplimiento de la finalidad para la
registros.
de registros de acuerdo a las
Identificación
legislación
aplicable
y
requerimientos
contractuales.
8.3.2 Eliminación de
medios.
para
prevenir
relacionadas
de
a
la
información
Proceso para la identificación y
formalización de requerimientos
regulatorios,
legales
y
para
la
contractuales.
Requerimientos
disposición de medios de forma
segura cuando estos ya no sean
53
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
obligado a eliminar la información relativa al
incumplimiento
de
utilizados.
obligaciones
contractuales, una vez que transcurra un
plazo de setenta y dos meses, contado a
11.2.7
partir de la fecha calendario en que se
segura o re-uso del
Eliminación
presente el mencionado incumplimiento.
equipo.
Actividades para el re-uso o la
eliminación de equipo.
Requerimientos
para
la
8.3.2 Eliminación de
disposición de medios de forma
medios.
segura cuando estos ya no sean
utilizados.
11.2.7
Eliminación
segura o re-uso del
equipo.
El responsable establecerá y documentará
13
procedimientos para la conservación y, en su
caso, bloqueo y supresión de los datos
personales.
Paso 2. Política de
Art. 38
Gestión de Datos
Personales.
12.1.1 Documentación
de
procedimientos
operacionales.
Actividades para el re-uso o la
eliminación de equipo.
Requerimientos
para
la
documentación
formal
y
comunicación
al
personal
relevante.
Actividades para la ejecución de
12.3.1
Respaldo
de
información.
respaldos de información para
prevenir
la
pérdida
de
información.
18.1.1
de
Identificación
legislación
aplicable
requerimientos
contractuales.
y
Proceso para la identificación y
formalización de requerimientos
regulatorios,
legales
y
contractuales.
54
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Actividades para la protección
18.1.3 Protección de
registros.
de registros de acuerdo a las
regulaciones,
legislaciones,
contratos y requerimientos de
negocio vigentes.
18.1.4
Privacidad
protección
y
de
Actividades
brechas
Información Personal
seguridad
Identificable.
personal
para
prevenir
relacionadas
de
a
la
información
Paso 7.
Implementación de
las Medidas de
Seguridad
Al responsable le corresponde demostrar que
14
los datos personales se conservan, o en su
Art. 39
caso, bloquean, suprimen o cancelan.
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
18.1.1
de
Identificación
legislación
aplicable
y
requerimientos
Proceso para la identificación y
formalización de requerimientos
regulatorios,
legales
y
contractuales.
contractuales.
Medidas de
Seguridad.
FINALIDAD
El tratamiento de datos personales deberá
18.1.1
limitarse al cumplimiento de las finalidades
15
previstas en el aviso de privacidad.
Si el responsable pretende tratar los datos
para un fin distinto al establecido, deberá
Art. 12
Art. 40
Paso 2. Política de
de
Art. 42
Gestión de Datos
aplicable
Art. 43
Personales.
Identificación
legislación
requerimientos
contractuales.
y
Proceso para la identificación y
formalización de requerimientos
regulatorios,
legales
y
contractuales.
55
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
obtener nuevamente el consentimiento del
titular.
18.1.4
Privacidad
y
de
Actividades
El titular podrá oponerse o revocar su
protección
consentimiento para las finalidades distintas
Información Personal
brechas
seguridad
a las que dieron origen a la relación jurídica,
Identificable.
personal
para
prevenir
relacionadas
de
a
la
información
sin que ello tenga como consecuencia la
conclusión del tratamiento.
PROPORCIONALIDAD
18.1.1
Identificación
de
El tratamiento de datos personales será el
aplicable
que resulte necesario, adecuado y relevante
requerimientos
en relación con las finalidades previstas en el
16
legislación
aviso de privacidad. En particular para datos
Art. 13
personales sensibles, el responsable deberá
Art. 45
Art. 46
Paso 2. Política de
y
Proceso para la identificación y
formalización de requerimientos
regulatorios,
legales
y
contractuales.
contractuales.
Gestión de Datos
Personales.
limitar el periodo de tratamiento al mínimo
18.1.4
Privacidad
protección
indispensable.
y
de
Actividades
brechas
Información Personal
seguridad
Identificable.
personal.
para
prevenir
relacionadas
de
a
la
información
CONFIDENCIALIDAD
El responsable o terceros que intervengan en
Requerimientos para el diseño
cualquier fase del tratamiento de datos
17
personales deberán guardar confidencialidad
respecto de éstos, obligación que subsistirá
aun después de finalizar sus relaciones con el
titular o, en su caso, con el responsable.
Art. 21
Art. 9
Paso 2. Política de
13.2.4
Gestión de Datos
confidencialidad o de
Personales.
Acuerdos
no divulgación.
de
e implementación de acuerdos
de confidencialidad y de no
divulgación
que
reflejen
las
necesidades de la organización
en
cuento
a
protección
de
56
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
información.
RESPONSABILIDAD
5
Políticas
Seguridad
de
de
la
Información.
Recomendaciones
seguridad de
la
El responsable tiene la obligación de velar y
responder por el tratamiento de los datos
Información.
de
necesarias y suficientes para garantizar que el
establecimiento de un marco
para la gestión de la seguridad
de la información a través de la
organización.
Prácticas de seguridad de la
Art. 14
Art. 47
Paso 2. Política de
7
Seguridad
Gestión de Datos
Recursos Humanos.
de
información
relacionadas
al
control de recursos humanos
internos y externos.
Personales.
Actividades para el control de
aviso de privacidad dado a conocer al titular,
sea respetado en todo momento por él o
el
la
las medidas necesarias.
El responsable deberá tomar las medidas
para
de
personales en su posesión, debiendo adoptar
18
información
para un ISMS.
Organización
Seguridad
el
establecimiento de políticas de
Actividades
6
para
8 Gestión de Activos.
activos de información dentro
por terceros con los que guarde alguna
del alcance de un ISMS.
relación jurídica.
Prácticas para el control de
9 Control de Acceso.
acceso
a
información
los
o
activos
de
información
dentro del alcance de un ISMS.
Lineamientos para la protección
10 Criptografía.
de la información por medios
criptográficos.
57
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
11 Seguridad Física y
Ambiental.
Actividades para la prevención
de eventos que pueden dañar
los activos de información.
Prácticas
para
asegurar
el
12 Seguridad en las
apropiado control y seguridad
operaciones
sobre
los
activos
de
procesamiento.
Prácticas
para
asegurar
el
13 Seguridad en las
apropiado control y seguridad
Comunicaciones.
sobre
los
activos
de
para
el
comunicación.
14
Adquisición,
desarrollo
y
mantenimiento
de
Sistemas.
15
Relacionamiento
Gestión
de
Incidentes
Seguridad
de
de
la
Información.
17
Aspectos
Seguridad
Información
Gestión
Continuidad
aseguramiento del siclo de vida
desarrollo,
mantenimiento
o
adquisición de sistemas.
con los Proveedores.
16
Actividades
de
de
de
Prácticas para la administración
de
la
seguridad
de
la
información con proveedores.
Actividades para la gestión de
incidentes de seguridad de la
información.
de
la
la
la
de
Actividades
para
el
establecimiento de un plan de
continuidad del negocio.
Negocios.
58
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Actividades para el monitoreo
del cumplimiento respecto al
18 Cumplimiento.
sistema
de
gestión
de
seguridad.
6.1.5 Seguridad de la
Actividades
Información
administración de la seguridad
en
la
Gestión de Proyectos.
8.2.1 Clasificación de
Información.
14.1.1
Análisis
requerimientos
19
de
Los responsables deberán adoptar medidas
Paso 5. Realizar el
Información.
para
Análisis de Riesgo
18.1.1
garantizar
el
debido
tratamiento,
privilegiando los intereses del titular y la
expectativa razonable de privacidad.
Art. 14
Art. 48
de los Datos
Personales.
en proyectos.
Lineamientos
para
la
clasificación de información de
y
Lineamientos para la inclusión
de
de requerimientos de seguridad
de
para la adquisición, desarrollo o
la
legislación
aplicable
mejoras
en
los
sistemas
existentes.
Identificación
de
la
la organización.
especificación
Seguridad
para
y
requerimientos
Proceso para la identificación y
formalización de requerimientos
regulatorios,
legales
y
contractuales.
contractuales.
Actividades para la protección
18.1.3 Protección de
registros.
de registros de acuerdo a las
regulaciones,
legislaciones,
contratos y requerimientos de
negocio vigentes.
18.1.4
Privacidad
protección
y
de
Información Personal
Actividades
brechas
seguridad
para
prevenir
relacionadas
de
a
la
información
59
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Identificable.
5.1.1
personal
Políticas
Seguridad
de
de
la
Información.
Actividades
y
requerimientos
para definir un set de políticas
relacionadas a la seguridad de
la información
Lineamientos
6.2.1
Política
de
Dispositivos Móviles.
para
la
implementación de una política
para el uso y protección de
medios móviles.
Actividades
7.2.3
Elaborar políticas y programas de privacidad
20
obligatorios y exigibles al interior de la
organización.
Paso 2. Política de
Art. 48 - I
Proceso
disciplinario.
el
establecimiento de un proceso
disciplinario
en
caso
de
violaciones a la seguridad de la
información.
Gestión de Datos
Personales.
para
8.1.3 Uso aceptable
Establecimiento
de activos.
reglas para el uso aceptable de
formal
de
activos de información.
Lineamientos
9.1.1
Política
de
Control de Acceso.
para
el
establecimiento de una política
de
control de acceso a
la
información.
Aspectos
relevantes
para
el
10.1.1 Política sobre
desarrollo de una política sobre
el uso de controles
el
criptográficos.
criptográficos para protección
uso
de
controles
de la información.
60
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
11.2.9
Política
de
implementación de una política
de escritorio y pantalla limpios.
Políticas
y
procedimientos
de
transferencia
de
14.2.1
Política
de
desarrollo seguro.
15.1.1
Política
Seguridad
de
relacionamiento
la
con
terceros.
18.1.1
Identificación
de
legislación
aplicable
y
requerimientos
Privacidad
protección
21
práctica
un
programa
de
del
personal
sobre
las
obligaciones
materia de protección de datos personales.
en
Paso 9. Mejora
Art. 48 - II
Continua y
de la política y procedimientos
de transferencia de información.
Establecimiento
y
de
formal de requerimientos de
seguridad cuando se trabaja
con proveedores.
Proceso para la identificación y
formalización de requerimientos
regulatorios,
brechas
seguridad
personal
Concienciación,
y
Capacitación.
Entrenamiento
Capacitación.
Seguridad
de
legales
Actividades
Identificable.
Educación,
de
Guía para el establecimiento
Información Personal
7.2.2
formal
políticas de seguridad para el
y
contractuales.
contractuales.
18.1.4
Actividades para el desarrollo
desarrollo de software.
de
Información para el
en
la
limpios.
información.
capacitación, actualización, y concientización
para
escritorio y pantalla
13.2.1
Poner
Lineamientos
de
la
para
prevenir
relacionadas
de
a
la
información
Actividades para desarrollar e
implementar un programa de
entrenamiento
y capacitación
sobre temas relevantes para la
61
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Información.
seguridad de la información.
Las políticas de seguridad de la
5.1.2 Revisión de las
información
deberán
ser
políticas de Seguridad
revisadas por la dirección o en
de la Información.
caso de algún cambio relevante
en la organización,
18.2.1
Revisión
independiente
Establecer
22
un
sistema
de
supervisión
Seguridad
y
vigilancia interna, verificaciones o auditorías
externas para comprobar el cumplimiento de
Art. 48 - III
Paso 8. Revisiones y
de
de
la
Información.
a revisiones independientes de
seguridad de la información en
intervalos planeados o cuando
ocurran cambios significativos.
Auditoría.
las políticas de privacidad.
La organización debe someterse
18.2.2
Cumplimiento
con
políticas
estándares
y
de
Seguridad.
La
dirección
debe
evaluar
periódicamente
el
nivel
de
cumplimiento
respecto
a
políticas y procedimientos de
seguridad de la información.
Revisiones periódicas sobre el
18.2.3
de
cumplimiento de los sistemas
cumplimiento técnico.
Revisión
de información de acuerdo a
las políticas establecidas.
5.1. Dirección de la
Paso 3. Establecer
23
Destinar recursos para la instrumentación de
los programas y políticas de privacidad.
Funciones y
Art. 48 - IV
Obligaciones de
Gerencia
para
Seguridad
de
la
Información.
Quienes Traten
Datos Personales.
6.1
interna.
Organización
Las actividades para proveer
dirección y soporte para la
seguridad de la información de
acuerdo a los requerimientos
del negocio.
Actividades
para
el
establecimiento de un marco
para
iniciar
y
controlar
la
62
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
operación de la seguridad de la
información.
18.1
Cumplimiento
con
requerimientos
legales
y
Paso 5. Realizar el
24
personales por la implementación de nuevos
productos, servicios, tecnologías y modelos
de negocios, así como para mitigarlos.
Art. 48 - V
Análisis de Riesgo
de los Datos
Personales.
en
regulaciones,
prevenir
cuanto
a
requerimientos
legales, y contractuales.
6.1.5 Seguridad de la
Actividades
Información
administración de la seguridad
en
la
8.2.1 Clasificación de
atienda el riesgo para la protección de datos
brechas
para
contractuales.
Gestión de Proyectos.
Instrumentar un procedimiento para que se
Actividades
Información.
14.1.1
Análisis
requerimientos
de
Información.
Lineamientos
para
la
clasificación de información de
y
Lineamientos para la inclusión
de requerimientos de seguridad
de
para la adquisición, desarrollo o
la
mejoras
en
los
sistemas
existentes.
Revisión
independiente
Seguridad
en proyectos.
de
Información.
18.2.1
la
la organización.
especificación
Seguridad
para
de
de
la
La organización debe someterse
a revisiones independientes de
seguridad de la información en
intervalos planeados o cuando
ocurran cambios significativos.
63
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
18.2.2
Cumplimiento
con
políticas
estándares
y
de
Seguridad.
La
dirección
debe
evaluar
periódicamente
el
nivel
de
cumplimiento
respecto
a
políticas y procedimientos de
seguridad de la información.
Revisiones periódicas sobre el
18.2.3
Revisión
de
cumplimiento de los sistemas
cumplimiento técnico.
de información de acuerdo a
las políticas establecidas.
Las políticas de seguridad de la
5.1.2 Revisión de las
información
deberán
ser
políticas de Seguridad
revisadas por la dirección o en
de la Información.
caso de algún cambio relevante
en la organización,
18.2.1
Revisión
independiente
Revisar
25
periódicamente
las
políticas
programas de seguridad para determinar las
modificaciones que se requieran.
Seguridad
y
Art. 48 - VI
Paso 8. Revisiones y
de
de
la
Información.
a revisiones independientes de
seguridad de la información en
intervalos planeados o cuando
ocurran cambios significativos.
Auditoría.
18.2.2
Cumplimiento
con
políticas
estándares
La organización debe someterse
y
de
Seguridad.
La
dirección
debe
evaluar
periódicamente
el
nivel
de
cumplimiento
respecto
a
políticas y procedimientos de
seguridad de la información.
Revisiones periódicas sobre el
18.2.3
Revisión
de
cumplimiento de los sistemas
cumplimiento técnico.
de información de acuerdo a
las políticas establecidas.
64
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
Implementación de
las Medidas de
Establecer
26
procedimientos
para
recibir
Seguridad
y
responder dudas y quejas de los titulares de
Art. 48 - VII
los datos personales.
Datos Personales.
Cumplimiento
Medidas de
Seguridad.
27
de
mecanismos
para
el
cumplimiento de las políticas y programas de
privacidad, así como de sanciones por su
de
12.1.1 Documentación
documentación
de
de
procedimientos operacionales y
procedimientos
operacionales.
su
Aplicables a los
Cotidiano de
Disponer
Lineamientos
16.1
Gestión
de
incidentes y mejoras
de Seguridad de la
Información.
incumplimiento.
Obligaciones de
7.2.3
Proceso
Quienes Traten
disciplinario.
Políticas
Seguridad
de
de
la
Información.
28
de acciones técnicas y administrativas que
permitan garantizar al responsable el
cumplimiento de los principios y obligaciones
que establece la Ley y su Reglamento.
Identificación de las
medidas de
seguridad y Análisis
Actividades
para
la
administración de incidentes de
seguridad.
para
el
establecimiento de un proceso
disciplinario
en
caso
de
Recomendaciones
Organización
Seguridad
el
establecimiento de políticas de
seguridad de
Actividades
6
para
la
información
para un ISMS.
Paso 6.
Art. 48 - IX
partes
información.
5
los datos personales, es decir, un conjunto
las
violaciones a la seguridad de la
Datos Personales.
Establecer medidas para el aseguramiento de
a
Actividades
Paso 3. Funciones y
Art. 48 - VIII
difusión
relevantes.
de
para
el
de
establecimiento de un marco
la
para la gestión de la seguridad
Información.
de la información a través de la
de Brecha.
organización.
Prácticas de seguridad de la
7
Seguridad
Recursos Humanos.
de
información
relacionadas
al
control de recursos humanos
internos y externos.
65
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Actividades para el control de
8 Gestión de Activos.
activos de información dentro
del alcance de un ISMS.
Prácticas para el control de
acceso
9 Control de Acceso.
a
los
información
o
activos
de
información
dentro del alcance de un ISMS.
Lineamientos para la protección
10 Criptografía.
de la información por medios
criptográficos.
11 Seguridad Física y
Ambiental.
Actividades para la prevención
de eventos que pueden dañar
los activos de información.
Prácticas
para
asegurar
el
12 Seguridad en las
apropiado control y seguridad
Operaciones.
sobre
los
activos
de
procesamiento.
Prácticas
para
asegurar
el
13 Seguridad en las
apropiado control y seguridad
Comunicaciones.
sobre
los
activos
de
para
el
comunicación.
14
Adquisición,
desarrollo
mantenimiento
y
de
Sistemas.
15
Relacionamiento
con los Proveedores.
Actividades
aseguramiento del siclo de vida
desarrollo,
mantenimiento
o
adquisición de sistemas.
Prácticas para la administración
de
la
seguridad
de
la
información con proveedores.
66
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
16
Gestión
de
Incidentes
Seguridad
de
de
la
Información.
17
Aspectos
Seguridad
Información
Gestión
de
de
de
Continuidad
Actividades para la gestión de
incidentes de seguridad de la
información.
de
la
la
la
de
Actividades
para
el
establecimiento de un plan de
continuidad del negocio.
Negocios.
Actividades para el monitoreo
del cumplimiento respecto al
18 Cumplimiento.
sistema
de
gestión
de
seguridad.
Lineamientos
8.3.1
Gestión
de
medios removibles.
para
implementación
la
de
procedimientos para la gestión
de medios removibles.
29
Establecer medidas para la trazabilidad de los
Paso 6.
datos personales, es decir acciones, medidas
Identificación de las
y procedimientos técnicos que
permiten
rastrear a los datos personales durante su
tratamiento.
Art. 48 - X
medidas de
seguridad y Análisis
Requerimientos
8.3.2 Eliminación de
medios.
para
la
disposición de medios de forma
segura cuando estos ya no sean
utilizados.
de Brecha.
12.7.1
Controles
de
auditoría sistemas de
información.
Actividades para la ejecución de
auditorías con el objetivo de
minimizar interrupciones en los
procesos de negocio.
67
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
13.2.2 Acuerdos sobre
transferencia
de
información.
14.1.1
Lineamientos
para
establecer
acuerdos de información entre
la
organización
y
entidades
externas.
Análisis
y
Lineamientos para la inclusión
especificación
de
de requerimientos de seguridad
requerimientos
de
para la adquisición, desarrollo o
Seguridad
de
la
Información.
mejoras
en
los
sistemas
existentes.
Actividades para la protección
18.1.3 Protección de
registros.
de registros de acuerdo a las
regulaciones,
legislaciones,
contratos y requerimientos de
negocio vigentes.
Paso 7.
Implementación de
Todo responsable deberá designar a una
persona,
personales,
30
o
departamento
quien
dará
de
las Medidas de
datos
trámite
a
Seguridad
las
solicitudes de los titulares, para el ejercicio
Aplicables a los
Art. 30
Datos Personales.
de los derechos a que se refiere la Ley.
Cumplimiento
Asimismo fomentará la protección de datos
Cotidiano de
personales al interior de la organización.
Medidas de
Seguridad.
6.1.1
Roles
y
responsabilidades de
Seguridad
de
la
Información.
7.2.2
Concienciación,
Educación,
y
Entrenamiento
Seguridad
de
de
la
Información.
Todas
los
roles
responsabilidades
deben
y
ser
definidos y asignados.
Actividades para desarrollar e
implementar un programa de
entrenamiento
y capacitación
sobre temas relevantes para la
seguridad de la información.
SEGURIDAD
Todo
31
responsable
tratamiento
de
que
datos
lleve
personales
a
cabo
deberá
establecer y mantener medidas de seguridad
Art. 19
Art. 4
Paso 6.
Art. 9
Identificación de las
Art. 57
medidas de
5
Políticas
Seguridad
Información.
de
de
la
Recomendaciones
para
el
establecimiento de políticas de
seguridad de
la
información
68
N°
Requerimiento normativo
administrativas,
permitan
técnicas
proteger
los
y
físicas
datos
que
personales
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
seguridad y Análisis
para un ISMS.
de Brecha.
contra daño, pérdida, alteración, destrucción
o el uso, acceso o tratamiento no autorizado.
No
adoptarán
medidas
de
seguridad
menores a aquellas que mantengan para el
Actividades
6
Organización
Seguridad
de
en territorio mexicano, le serán aplicables las
la
para la gestión de la seguridad
Información.
de la información a través de la
organización.
Prácticas de seguridad de la
7
Seguridad
de
Recursos Humanos.
Reglamento.
información
relacionadas
al
control de recursos humanos
internos y externos.
disposiciones relativas a las medidas de
seguridad contenidas en el Capítulo III de
el
establecimiento de un marco
manejo de su información.
Cuando el encargado se encuentre ubicado
para
de
Actividades para el control de
8 Gestión de Activos.
activos de información dentro
del alcance de un ISMS.
Prácticas para el control de
9 Control de Acceso.
acceso
a
los
información
o
activos
de
información
dentro del alcance de un ISMS.
Lineamientos para la protección
10 Criptografía.
de la información por medios
criptográficos.
11 Seguridad Física y
Ambiental.
12 Seguridad en las
operaciones.
Actividades para la prevención
de eventos que pueden dañar
los activos de información.
Prácticas
para
asegurar
el
apropiado control y seguridad
sobre
los
activos
de
69
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
procesamiento.
Prácticas
para
asegurar
el
13 Seguridad en las
apropiado control y seguridad
Comunicaciones.
sobre
los
activos
de
para
el
comunicación.
14
Adquisición,
desarrollo
y
mantenimiento
de
Sistemas.
15
Relacionamiento
Gestión
de
Incidentes
Seguridad
de
de
la
Información.
17
Aspectos
Seguridad
Información
Gestión
aseguramiento del siclo de vida
desarrollo,
mantenimiento
o
adquisición de sistemas.
con los Proveedores.
16
Actividades
de
de
de
Continuidad
Prácticas para la administración
de
la
seguridad
de
la
información con proveedores.
Actividades para la gestión de
incidentes de seguridad de la
información.
de
la
la
la
de
Actividades
para
el
establecimiento de un plan de
continuidad del negocio.
Negocios.
Actividades para el monitoreo
18 Cumplimiento.
del cumplimiento respecto al
sistema
de
gestión
de
seguridad.
70
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
6.1.5 Seguridad de la
Actividades
El responsable determinará las medidas de
Información
administración de la seguridad
seguridad aplicables a los datos personales
Gestión de Proyectos.
en
la
para
la
en proyectos.
que trate, considerando el riesgo existente,
las posibles consecuencias para los titulares,
8.2.1 Clasificación de
la sensibilidad de los datos y el desarrollo
Información.
tecnológico.
De
manera
adicional,
el
14.1.1
responsable
procurará tomar en cuenta los siguientes
elementos:
32
I. El número de titulares;
Art. 19
II. Las vulnerabilidades previas ocurridas en
los sistemas de tratamiento;
III.
El
riesgo
por
el
valor
potencial
cuantitativo o cualitativo que pudieran tener
los datos personales tratados para una
tercera
persona
no
autorizada
para
su
Art. 60
nivel de riesgo o que resulten de otras leyes
o regulación aplicable al responsable.
para
la
clasificación de información de
la organización.
Análisis
y
Lineamientos para la inclusión
especificación
de
de requerimientos de seguridad
Paso 5. Realizar el
requerimientos
de
para la adquisición, desarrollo o
Análisis de Riesgo
Seguridad
de los Datos
Personales.
de
la
Información.
18.1.1
de
Identificación
legislación
aplicable
mejoras
en
los
sistemas
existentes.
y
requerimientos
contractuales.
posesión, y
IV. Demás factores que puedan incidir en el
Lineamientos
Proceso para la identificación y
formalización de requerimientos
regulatorios,
legales
y
contractuales.
Actividades para la protección
18.1.3 Protección de
registros.
de registros de acuerdo a las
regulaciones,
legislaciones,
contratos y requerimientos de
negocio vigentes.
71
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
18.1.4
Privacidad
protección
y
de
Actividades
brechas
para
prevenir
relacionadas
Información Personal
seguridad
Identificable.
personal
de
a
la
información
Todos los activos asociados con
8.1.1
Inventario
de
activos.
información e infraestructura de
procesamiento
estar
deberán
identificados
en
de
un
inventario,
Todos
33
Elaborar un inventario de datos personales y
de los sistemas de tratamiento.
Paso 4. Elaborar un
Art. 61 - I
Inventario de Datos
8.1.2
Propiedad
de
activos.
los
activos
de
información identificados deben
tener asignado un dueño que
será
responsable
de
los
mismos.
Personales.
8.2.1 Clasificación de
Información.
Lineamientos
la
la organización.
Establece
8.2.2
para
clasificación de información de
Etiquetado
de
información.
para
los
el
requerimientos
etiquetado
de
información de acuerdo a su
clasificación.
Paso 3. Establecer
34
Determinar las funciones y obligaciones de
las personas que traten datos personales.
Funciones y
Art. 61 - II
Obligaciones de
Quienes Traten
Datos Personales.
5.1.1
Políticas
Seguridad
de
de
la
Información.
6.1.1
Roles
Actividades
y
requerimientos
para definir un set de políticas
relacionadas a la seguridad de
la información
y
responsabilidades de
Todas
los
responsabilidades
roles
deben
y
ser
72
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Seguridad
de
la
definidos y asignados.
Información.
18.1.1
Identificación
de
legislación
aplicable
y
requerimientos
la
35
Análisis de Riesgo
identificar
peligros y estimar los riesgos a los datos
personales.
Art. 61 - III
de los Datos
Personales.
la
Análisis
requerimientos
Seguridad
de
Lineamientos
para
la
clasificación de información de
de
y
Lineamientos para la inclusión
de
de requerimientos de seguridad
de
para la adquisición, desarrollo o
la
Información.
18.1.1
en proyectos.
la organización.
especificación
en
para
administración de la seguridad
14.1.1
consiste
y
Actividades
en
Información.
que
legales
Información
8.2.1 Clasificación de
personales
regulatorios,
6.1.5 Seguridad de la
Gestión de Proyectos.
Paso 5. Realizar el
formalización de requerimientos
contractuales.
contractuales.
Contar con un análisis de riesgos de datos
Proceso para la identificación y
en
los
sistemas
existentes.
Identificación
legislación
aplicable
mejoras
y
requerimientos
contractuales.
Proceso para la identificación y
formalización de requerimientos
regulatorios,
legales
y
contractuales.
Actividades para la protección
18.1.3 Protección de
registros.
de registros de acuerdo a las
regulaciones,
legislaciones,
contratos y requerimientos de
negocio vigentes.
73
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
18.1.4
Privacidad
protección
y
de
Información Personal
Identificable.
18.1.1
Identificación
de
legislación
aplicable
y
requerimientos
Actividades
brechas
para
prevenir
relacionadas
seguridad
de
a
la
información
personal.
Proceso para la identificación y
formalización de requerimientos
regulatorios,
legales
y
contractuales.
contractuales.
Actividades para la protección
18.1.3 Protección de
registros.
36
las
medidas
de
seguridad
aplicables a los datos personales e identificar
aquéllas implementadas de manera efectiva.
Identificación de las
Art. 61 - IV
medidas de
seguridad y Análisis
de Brecha.
regulaciones,
legislaciones,
contratos y requerimientos de
negocio vigentes.
Paso 6.
Establecer
de registros de acuerdo a las
18.1.4
Privacidad
protección
y
de
Actividades
brechas
Información Personal
seguridad
Identificable.
personal.
18.2.2
Cumplimiento
con
políticas
estándares
y
de
Seguridad.
La
para
prevenir
relacionadas
de
dirección
a
la
información
debe
evaluar
periódicamente
el
nivel
de
cumplimiento
respecto
a
políticas y procedimientos de
seguridad de la información.
Revisiones periódicas sobre el
18.2.3
Revisión
de
cumplimiento de los sistemas
cumplimiento técnico.
de información de acuerdo a
las políticas establecidas.
74
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
14.2.3
Revisión
técnica
37
Realizar el análisis de brecha que consiste en
Paso 6.
la diferencia de las medidas de seguridad
Identificación de las
existentes y aquéllas faltantes que resultan
Art. 61 - V
necesarias para la protección de los datos
de Brecha.
no
hay
efectos
negativos
aplicaciones después
después de haberse realizado
de
cambios
cambios
en
la
plataforma operativa.
medidas de
seguridad y Análisis
personales.
de
Actividades para asegurar que
en
las
plataformas
operativas.
Actividades para asegurar que
18.2
Revisiones
Seguridad
de
de
la
Información.
la seguridad de la información
se encuentra implementada y
operando de acuerdo a las
políticas
y
procedimientos
establecidos.
Paso 7.
Implementación de
las Medidas de
Seguridad
Elaborar
38
un
plan
de
trabajo
para
la
implementación de las medidas de seguridad
Aplicables a los
Art. 61 - VI
faltantes, derivadas del análisis de brecha.
Datos Personales.
Plan de Trabajo
Actividades para identificar y
12.6.1
Gestión
de
prevenir
que
las
vulnerabilidades
vulnerabilidades técnicas en los
técnicas.
activos
para la
de
información
sean
explotadas.
Implementación de
las Medidas de
Seguridad Faltantes.
Las políticas de seguridad de la
39
Llevar a cabo revisiones o auditorías.
Art. 61 - VII
Paso 8. Revisiones y
Auditoría.
5.1.2 Revisión de las
información
deberán
ser
políticas de Seguridad
revisadas por la dirección o en
de la Información.
caso de algún cambio relevante
en la organización,
18.2.1
Revisión
La organización debe someterse
75
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
independiente
Seguridad
de
de
a revisiones independientes de
la
seguridad de la información en
Información.
intervalos planeados o cuando
ocurran cambios significativos.
18.2.2
Cumplimiento
con
políticas
estándares
y
de
Seguridad.
La
dirección
debe
evaluar
periódicamente
el
nivel
de
cumplimiento
respecto
a
políticas y procedimientos de
seguridad de la información.
Revisiones periódicas sobre el
18.2.3
Revisión
de
cumplimiento de los sistemas
cumplimiento técnico.
de información de acuerdo a
las políticas establecidas.
7.2.2
Paso 9. Mejora
40
Capacitar
al
personal
que
efectúe
el
tratamiento de datos personales.
Art. 61 - VIII
Continua y
Capacitación.
Capacitación.
Concienciación,
Educación,
y
Entrenamiento
Seguridad
de
de
la
Información.
Actividades para desarrollar e
implementar un programa de
entrenamiento
y capacitación
sobre temas relevantes para la
seguridad de la información.
Todos los activos asociados con
41
Realizar un registro de
los medios de
almacenamiento de los datos personales.
Art. 61 - IX
Paso 5. Realizar el
8.1.1
Inventario
Análisis de Riesgo
activos.
de
información e infraestructura de
procesamiento
estar
de los Datos
deberán
identificados
en
de
un
inventario,
Personales.
8.1.2
Propiedad
activos.
de
Todos
los
activos
de
información identificados deben
tener asignado un dueño que
76
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
será
responsable
de
los
mismos.
8.2.1 Clasificación de
Información.
Lineamientos
Etiquetado
la
clasificación de información de
la organización.
Establece
8.2.2
para
de
información.
para
los
el
requerimientos
etiquetado
de
información de acuerdo a su
clasificación.
Todos los activos asociados con
8.1.1
3. Acciones a
42
Contar con una relación de las medidas de
seguridad.
Inventario
de
activos.
deberán
identificados
en
de
un
inventario,
seguridad de los
Todos
datos personales
documentadas.
procesamiento
estar
implementar para la
Art. 61
información e infraestructura de
8.1.2
Propiedad
de
activos.
los
activos
de
información identificados deben
tener asignado un dueño que
será
responsable
de
los
mismos.
Actualizar las medidas de seguridad cuando:
43
I. Se modifiquen las medidas o procesos de
seguridad para su mejora continua, derivado
de las revisiones a la política de seguridad
Las políticas de seguridad de la
Art. 62
Paso 8. Revisiones y
Auditoría.
5.1.2 Revisión de las
información
políticas de Seguridad
revisadas por la dirección o en
deberán
ser
de la Información.
caso de algún cambio relevante
en la organización,
77
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
del responsable.
II. Se produzcan modificaciones sustanciales
en el tratamiento que deriven en un cambio
del nivel de riesgo.
III. Se vulneren los sistemas de tratamiento,
18.1.1
de conformidad con lo dispuesto en el
de
artículo 20 de la Ley y 63 de su Reglamento.
aplicable
IV.
requerimientos
Exista
una
afectación
a
los
datos
personales distinta a las anteriores.
Identificación
legislación
y
Proceso para la identificación y
formalización de requerimientos
regulatorios,
legales
y
para
la
contractuales.
contractuales.
En el caso de datos personales sensibles, los
responsables procurarán revisar y, en su caso,
actualizar las relaciones correspondientes una
vez al año.
VULNERACIONES A LA SEGURIDAD
16.1
cualquier fase del tratamiento que afecten de
Paso 8. Revisiones y
forma significativa los derechos patrimoniales
44
o morales de los titulares, serán informadas
de forma inmediata por el responsable al
titular, a fin de que este último pueda tomar
las medidas correspondientes a la defensa de
sus derechos.
Gestión
de
incidentes y mejoras
Las vulneraciones de seguridad ocurridas en
Art. 20
Art. 63
Art. 64
Auditoría.
de Seguridad de la
Información.
Actividades
administración de incidentes de
seguridad.
Vulneraciones a la
Seguridad de la
Información.
18.1.1
de
Identificación
legislación
aplicable
requerimientos
contractuales.
y
Proceso para la identificación y
formalización de requerimientos
regulatorios,
legales
y
contractuales.
78
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
18.1.4
Privacidad
protección
y
de
Actividades
brechas
Información Personal
seguridad
Identificable.
personal
para
prevenir
relacionadas
de
a
la
información
En caso de que ocurra una vulneración a la
seguridad
de
los
datos
personales,
el
responsable deberá informar al titular al
menos lo siguiente:
Paso 8. Revisiones y
I. La naturaleza del incidente.
45
II. Los datos personales comprometidos.
III. Las recomendaciones al titular acerca de
Auditoría.
Art. 65
Vulneraciones a la
Seguridad de la
las medidas que éste pueda adoptar para
Información.
proteger sus intereses.
16.1.5
Respuesta
incidentes
Seguridad
a
de
de
la
Información.
Procedimientos
respuesta
a
para
incidentes
la
de
seguridad.
IV. Las acciones correctivas realizadas de
forma inmediata.
V. Los medios donde puede obtener más
información al respecto.
En caso de que ocurra una vulneración a los
datos
personales,
el responsable
deberá
Paso 8. Revisiones y
analizar las causas por las cuales se presentó
46
16.1.6
Auditoría.
aprendidas
Vulneraciones a la
incidentes
preventivas y de mejora para adecuar las
Seguridad de la
Seguridad
medidas de seguridad correspondientes, a
Información.
e
implementar
las
acciones
correctivas,
Art. 66
Información.
Lecciones
de
los
de
de
la
Establecimiento de una base de
datos de eventos de seguridad
para minimizar el impacto de
eventos similares en el futuro.
efecto de evitar que la vulneración se repita.
ENCARGADO
79
N°
Requerimiento normativo
El
encargado
tendrá
las
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
siguientes
Actividades para mantener la
obligaciones respecto del tratamiento que
13.2 Transferencia de
realice por cuenta del responsable:
información.
transmitida
organización
I. Tratar únicamente los datos personales
la
información
dentro
y
de
la
entidades
externas.
conforme a las instrucciones del responsable.
15.1 Seguridad de la
Actividades para asegurar la
II. Abstenerse de tratar los datos personales
Información para el
protección de los activos de
para finalidades distintas a las instruidas por
relacionamiento
información que esta accesible
el responsable.
proveedores.
III. Implementar las medidas de seguridad
datos personales tratados.
para terceros.
entrega de servicios
demás disposiciones aplicables.
IV. Guardar confidencialidad respecto de los
con
15.2 Gestión de la
conforme a la Ley, su Reglamento y las
47
seguridad en
Art. 50
1. Recomendación
de proveedores.
Actividades
para
el
mantenimiento de niveles de
servicio y seguridad apropiados
con terceras partes.
General.
V. Suprimir los datos personales objeto de
tratamiento una vez cumplida la relación
jurídica
con
el
responsable
o
por
instrucciones del responsable, siempre y
cuando no exista una previsión legal que
exija la conservación de los datos personales.
VI.
Abstenerse
de
transferir
los
así
lo
determine,
Cumplimiento
con
requerimientos
legales
datos
contractuales.
personales salvo en el caso de que el
responsable
18.1
y
Lineamientos
para
relacionadas
a
regulaciones
o
prevenir
layes
y
contratos
relacionados a seguridad de la
información
la
comunicación derive de una subcontratación,
o
cuando
así
lo
requiera
la
autoridad
competente.
SUBCONTRATACIONES
80
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
13.2.2 Acuerdos sobre
transferencia
de
información.
Lineamientos
para
establecer
acuerdos de información entre
la
organización
y
entidades
externas.
Requerimientos para el diseño
e implementación de acuerdos
Paso 7.
Implementación de
La
48
relación
entre
el
responsable
y
el
las Medidas de
encargado deberá estar establecida mediante
Seguridad
cláusulas contractuales u otro instrumento
Aplicables a los
jurídico que decida el responsable, que
Art. 51
13.2.4
Acuerdos
de
de confidencialidad y de no
confidencialidad o de
divulgación
no divulgación.
necesidades de la organización
en
cuento
que
a
reflejen
protección
las
de
información.
Datos Personales.
permita acreditar su existencia, alcance y
Cumplimiento
18.1.1
contenido.
Cotidiano de
de
Medidas de
aplicable
Seguridad.
requerimientos
Identificación
legislación
y
contractuales.
Proceso para la identificación y
formalización de requerimientos
regulatorios,
legales
y
contractuales.
Actividades para la protección
18.1.3 Protección de
registros.
de registros de acuerdo a las
regulaciones,
legislaciones,
contratos y requerimientos de
negocio vigentes.
81
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
18.1.4
Privacidad
protección
y
de
Actividades
brechas
para
prevenir
relacionadas
la
seguridad
Identificable.
personal
Toda subcontratación de servicios por parte
15.1 Seguridad de la
Actividades para asegurar la
del encargado que implique el tratamiento
Información para el
protección de los activos de
de datos personales deberá ser autorizada
relacionamiento
información que esta accesible
por el responsable, y se realizará en nombre
proveedores.
Una
vez
obtenida
la
autorización,
subcontratado
a
través
de
permita acreditar su existencia, alcance y
contenido.
En caso de que la subcontratación no haya
sido prevista en cláusulas contractuales, el
encargado deberá obtener la autorización
correspondiente
del
responsable
para terceros.
Implementación de
las Medidas de
cláusulas
contractuales u otro instrumento jurídico que
información
Paso 7.
el
encargado deberá formalizar la relación con
el
con
de
a
Información Personal
y por cuenta de este último.
49
Descripción
Objetivo de Control
Seguridad
Art. 54
Aplicables a los
Art. 55
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
18.1.1
de
Identificación
legislación
aplicable
requerimientos
contractuales.
y
Proceso para la identificación y
formalización de requerimientos
regulatorios,
legales
y
contractuales.
previamente.
La
obligación
de
acreditar
que
la
subcontratación se realizó con autorización
del responsable corresponderá al encargado.
CÓMPUTO EN LA NUBE
82
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Para el tratamiento de datos personales en
Identificador y
nombre
13.2.1
servicios, aplicaciones e infraestructura en el
denominado cómputo en la nube, en los que
el responsable se adhiera a los mismos
Descripción
Objetivo de Control
Políticas
y
procedimientos
de
transferencia
de
información.
mediante condiciones o cláusulas generales
de contratación, sólo podrá utilizar aquellos
servicios en los que el proveedor cumpla, al
13.2.2 Acuerdos sobre
menos, con lo siguiente:
Paso 7.
Implementación de
a) Tener y aplicar políticas de protección de
b) Transparentar las subcontrataciones que
involucren la información sobre la que se
presta el servicio;
información.
Art. 52 - I
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
de transferencia de información.
Lineamientos
para
establecer
acuerdos de información entre
la
organización
y
entidades
Requerimientos para el diseño
e implementación de acuerdos
13.2.4
Acuerdos
de
de confidencialidad y de no
confidencialidad o de
divulgación
no divulgación.
necesidades de la organización
en
Medidas de
Seguridad.
de la política y procedimientos
externas.
Seguridad
deberes aplicables que establece la Ley y su
Reglamento;
de
las Medidas de
datos personales afines a los principios y
50
transferencia
Actividades para el desarrollo
cuento
que
a
reflejen
protección
las
de
información.
15.1 Seguridad de la
Actividades para asegurar la
c) Abstenerse de incluir condiciones en la
Información para el
protección de los activos de
prestación del servicio que le autoricen o
relacionamiento
información que esta accesible
permitan asumir la titularidad o propiedad de
proveedores.
la información sobre la que presta el servicio,
y
d) Guardar confidencialidad respecto de los
con
15.2 Gestión de la
entrega de servicios
de proveedores.
para terceros.
Actividades
para
el
mantenimiento de niveles de
servicio y seguridad apropiados
con terceras partes.
83
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
datos personales sobre los que se preste el
18.1.1
servicio.
de
Identificación
legislación
aplicable
y
requerimientos
Proceso para la identificación y
formalización de requerimientos
regulatorios,
legales
y
contractuales.
contractuales.
Actividades para la protección
18.1.3 Protección de
registros.
de registros de acuerdo a las
regulaciones,
legislaciones,
contratos y requerimientos de
negocio vigentes.
18.1.4
Privacidad
protección
y
de
seguridad
Identificable.
personal.
Paso 7.
denominado cómputo en la nube, en los que
Implementación de
el responsable se adhiera a los mismos
Seguridad
de contratación, sólo podrá utilizar aquellos
a) Dar a conocer cambios en sus políticas de
privacidad o condiciones del servicio que
presta;
13.2 Transferencia de
información.
de
Art. 52 - II
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
seguridad en
transmitida
organización
las Medidas de
mediante condiciones o cláusulas generales
mecanismos, al menos, para:
para
prevenir
relacionadas
a
la
información
Actividades para mantener la
servicios, aplicaciones e infraestructura en el
servicios en los que el proveedor cuente con
brechas
Información Personal
Para el tratamiento de datos personales en
51
Actividades
la
información
dentro
y
de
la
entidades
externas.
15.1 Seguridad de la
Actividades para asegurar la
Información para el
protección de los activos de
relacionamiento
información que esta accesible
con
proveedores.
Medidas de
15.2 Gestión de la
Seguridad.
entrega de servicios
de proveedores.
para terceros.
Actividades
para
el
mantenimiento de niveles de
servicio y seguridad apropiados
con terceras partes.
84
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
b) Permitir al responsable limitar el tipo de
18.1.1
Identificación
tratamiento de los datos personales sobre los
de
que se presta el servicio;
aplicable
legislación
y
requerimientos
c)
Establecer
y
mantener
medidas
de
Proceso para la identificación y
formalización de requerimientos
regulatorios,
legales
y
contractuales.
contractuales.
seguridad adecuadas para la protección de
Actividades para la protección
los datos personales sobre los que se preste
18.1.3 Protección de
el servicio;
registros.
de registros de acuerdo a las
regulaciones,
legislaciones,
contratos y requerimientos de
d) Garantizar la supresión de los datos
negocio vigentes.
personales una vez que haya concluido el
servicio prestado al responsable, y que este
último haya podido recuperarlos, y
18.1.4
Privacidad
y
Actividades
e) Impedir el acceso a los datos personales a
protección
personas que no cuenten con privilegios de
Información Personal
seguridad
acceso, o bien en caso de que sea a solicitud
Identificable.
personal
fundada
y
competente,
motivada
informar
de
de
autoridad
ese
hecho
de
brechas
para
prevenir
relacionadas
de
a
la
información
al
responsable.
TRANSFERENCIAS
Cuando el responsable pretenda transferir los
Art. 68
datos personales a terceros nacionales o
52
extranjeros, distintos del encargado, deberá
comunicar a éstos el aviso de privacidad y las
finalidades a las que el titular sujetó su
Art. 36
Art. 71
Art. 72
Art. 74
Paso 7.
Implementación de
las Medidas de
Seguridad
Aplicables a los
Actividades para mantener la
13.2 Transferencia de
información.
seguridad en
transmitida
organización
la
información
dentro
y
de
la
entidades
externas.
85
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
tratamiento.
Datos Personales.
Identificador y
nombre
18.1.1
Identificación
El tratamiento de los datos se hará conforme
Cumplimiento
de
a lo convenido en el aviso de privacidad, el
Cotidiano de
aplicable
cual contendrá una cláusula en la que se
Medidas de
requerimientos
indique
Seguridad.
contractuales.
si
el
titular
acepta
o
no
la
Descripción
Objetivo de Control
legislación
y
correspondan
regulatorios,
legales
y
Actividades para la protección
el tercero receptor, asumirá las mismas
que
formalización de requerimientos
contractuales.
transferencia de sus datos, de igual manera,
obligaciones
Proceso para la identificación y
18.1.3 Protección de
al
registros.
responsable que transfirió los datos.
de registros de acuerdo a las
regulaciones,
legislaciones,
contratos y requerimientos de
negocio vigentes.
18.1.4
Privacidad
protección
Paso 7.
Para
efectos
transferencia,
de
demostrar
sea
ésta
que
la
nacional
o
53
establece la Ley y su Reglamento, la carga de
la prueba recaerá, en todos los casos, en el
responsable que transfiere y en el receptor
de los datos personales.
Art. 69
de
Actividades
brechas
Información Personal
seguridad
Identificable.
personal
13.2.1
Políticas
y
procedimientos
de
las Medidas de
transferencia
de
Seguridad
información.
Implementación de
internacional, se realiza conforme a lo que
y
para
prevenir
relacionadas
de
a
la
información
Actividades para el desarrollo
de la política y procedimientos
de transferencia de información.
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
13.2.2 Acuerdos sobre
transferencia
información.
de
Lineamientos
para
establecer
acuerdos de información entre
la
organización
y
entidades
externas.
86
N°
Requerimiento normativo
En
el
caso
de
transferencias
de
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
13.2.1
datos
Descripción
Objetivo de Control
Políticas
y
personales entre sociedades controladoras,
procedimientos
de
subsidiarias o afiliadas bajo el control común
transferencia
de
del mismo grupo del responsable, o a una
información.
Actividades para el desarrollo
de la política y procedimientos
de transferencia de información.
sociedad matriz o a cualquier sociedad del
mismo grupo del responsable, el mecanismo
para garantizar que el receptor de los datos
54
personales cumplirá con las disposiciones
Art. 70
previstas en la Ley, su Reglamento y demás
1. Recomendación
General
13.2.2 Acuerdos sobre
normativa aplicable, podrá ser la existencia
transferencia
de normas internas de protección de datos
información.
de
Lineamientos
para
establecer
acuerdos de información entre
la
organización
y
entidades
externas.
personales cuya observancia sea vinculante,
siempre y cuando éstas cumplan con lo
establecido en la Ley, su
Reglamento y
demás normativa aplicable.
Paso 7.
Implementación de
La
transferencia
deberá
formalizarse
las Medidas de
mediante algún mecanismo que permita
55
Seguridad
demostrar que el responsable transferente
Art. 73
Aplicables a los
comunicó
Art. 75
Datos Personales.
al
responsable
receptor
las
13.2.1
Políticas
y
procedimientos
de
transferencia
de
información.
condiciones en las que el titular consintió el
Cumplimiento
13.2.2 Acuerdos sobre
tratamiento de sus datos personales.
Cotidiano de
transferencia
Medidas de
información.
Seguridad.
de
Actividades para el desarrollo
de la política y procedimientos
de transferencia de información.
Lineamientos
para
establecer
acuerdos de información entre
la
organización
y
entidades
externas.
87
4.3 ISO/IEC 27005:2008, Information Technology - Security techniques – Information security risk
management.
Introducción. Este estándar proporciona lineamientos para la gestión de riesgos de seguridad de la información. Su
finalidad es apoyar la implementación de seguridad de la información con base en un enfoque de gestión de los
riesgos.
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
RESPONSABLE
Información de la organización
7 Establecimiento del
Contexto.
que
sea
relevante
para
el
establecimiento de la gestión
de riesgos de seguridad de la
información.
8
Los responsables en el tratamiento de datos
personales, deberán observar los principios
1
de
licitud,
consentimiento,
información,
calidad, finalidad, lealtad, proporcionalidad y
responsabilidad, previstos en la Ley.
Art. 6
Art. 9
1. Recomendación
General.
Evaluación
del
Riesgo de Seguridad
de la Información.
9
para
identificación,
la
evaluación,
y
priorización de los riesgos de
seguridad de la información.
del
Acciones para reducir, evitar,
Riesgo de Seguridad
transferir, aceptar los riesgos de
de la Información.
seguridad de la información.
10
Tratamiento
Actividades
Aceptación
del
Riesgo de Seguridad
de la Información.
Acciones
aceptación
para
de
decidir
los
la
riesgos
resultantes de seguridad de la
información.
88
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
11
Comunicación
y
Consulta del Riesgo
de Seguridad de la
Información.
12
Monitoreo
y
revisión del Riesgo de
Seguridad
Información.
de
la
Acciones para comunicar los
riesgos de la organización a las
partes interesadas.
Acciones para monitorear los
riesgos y sus factores en la
organización.
LICITUD Y LEALTAD
Los datos personales deberán recabarse y
tratarse de manera lícita, privilegiando la
protección de los intereses del titular y la
expectativa
2
razonable
de
privacidad,
sin
importar la fuente de la que se obtienen los
datos.
Art. 7
Art. 7
Art. 10
Art. 44
Paso 1. Alcance y
Objetivos.
NO APLICA
NO APLICA
NO APLICA
NO APLICA
La obtención de datos personales no debe
hacerse a través de medios engañosos o
fraudulentos.
CONSENTIMIENTO
El tratamiento de datos personales estará
sujeto al consentimiento de su titular, salvo
las excepciones previstas por la Ley.
3
Los
datos
financieros
o
patrimoniales
requerirán consentimiento expreso de su
Art. 11
Art. 8
Art. 12
Art. 15
Paso 2. Política de
Gestión de Datos
Personales.
titular.
89
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Cuando los datos personales se obtengan
personalmente o de manera directa de su
titular, el consentimiento deberá ser previo al
tratamiento.
El responsable deberá facilitar al titular
4
medios sencillos y gratuitos para manifestar
Paso 2. Política de
Art. 8
Art. 16
su consentimiento expreso.
Gestión de Datos
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Personales.
Tratándose de datos personales sensibles, el
responsable
deberá
obtener
el
consentimiento expreso y por escrito del
titular
para
su
tratamiento.
Paso 2. Política de
5
No podrán crearse bases de datos que
Art. 9
Art. 56
contengan datos personales sensibles, sin
Gestión de Datos
Personales.
que se justifique la creación de las mismas
para
finalidades
legítimas,
concretas
y
acordes con las actividades o fines explícitos
que persigue el sujeto regulado.
Paso 7.
Implementación de
las Medidas de
Para efectos de demostrar la obtención del
6
consentimiento,
recaerá,
en
responsable.
la
todos
carga
los
de
la
casos,
prueba
en
el
Seguridad
Art. 20
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
90
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
INFORMACIÓN
A
través
del
aviso
de
privacidad,
el
responsable tendrá la obligación de informar
a los titulares, los datos que recaba, las
finalidades necesarias y las que no lo son
para
la
relación
jurídica,
así
como
las
características principales de su tratamiento.
Cuando se traten datos personales como
7
parte de un proceso de toma de decisiones
sin que intervenga la valoración de una
persona
física,
el
responsable
Art. 14
Art. 15
Art. 23
Art. 112
deberá
Paso 2. Política de
Gestión de Datos
Personales.
NO APLICA
NO APLICA
NO APLICA
NO APLICA
informar al titular que esta situación ocurre.
Si obtiene los datos de manera automática,
deberá informar al titular sobre el uso de
estas tecnologías y la forma en que podrá
deshabilitarlas.
Paso 7.
Implementación de
las Medidas de
Cuando los datos personales sean obtenidos
directamente
8
del
titular,
el
aviso
Seguridad
de
privacidad debe ponerse a disposición de los
Art. 3, I
titulares a través de formatos impresos,
Art. 17
digitales, visuales, sonoros o cualquier otra
tecnología.
Art. 27
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
91
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
El aviso de privacidad
debe contener un
mecanismo,
el
para
que
titular
Implementación de
las Medidas de
pueda
manifestar su negativa al tratamiento de sus
9
datos
personales.
Cuando
los
datos
se
Art. 14
Art. 18
obtengan de manera indirecta del titular, el
Art. 29
Art. 32
responsable deberá darle a conocer el aviso
Seguridad
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Cumplimiento
Cotidiano de
de privacidad y sus cambios.
Medidas de
Seguridad
Paso 7.
Implementación de
las Medidas de
Para efectos de demostrar la puesta a
disposición
10
del
aviso
de
privacidad
Seguridad
en
cumplimiento del principio de información, la
Art. 31
carga de la prueba recaerá, en todos los
Aplicables a los
Datos Personales.
Cumplimiento
casos, en el responsable.
Cotidiano de
Medidas de
Seguridad.
CALIDAD
El responsable procurará que los datos
personales contenidos en las bases de datos
11
sean
exactos,
completos,
pertinentes,
correctos y actualizados según se requiera
para el cumplimiento de la finalidad para la
Paso 2. Política de
Art. 11
Art. 36
Gestión de Datos
Personales.
cual son tratados.
92
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Cuando los datos de carácter personal hayan
dejado
de
ser
necesarios
para
el
cumplimiento de las finalidades previstas por
el aviso de privacidad y las disposiciones
legales aplicables, deberán ser cancelados,
previo bloqueo de los mismos.
12
Art. 3 III
El responsable de la base de datos estará
Art. 11
Paso 2. Política de
Art. 37
de
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Personales.
obligado a eliminar la información relativa al
incumplimiento
Gestión de Datos
obligaciones
contractuales, una vez que transcurra un
plazo de setenta y dos meses, contado a
partir de la fecha calendario en que se
presente el mencionado incumplimiento.
El responsable establecerá y documentará
13
procedimientos para la conservación y, en su
caso, bloqueo y supresión de los datos
Paso 2. Política de
Art. 38
Gestión de Datos
Personales.
personales.
Paso 7.
Implementación de
las Medidas de
Seguridad
Al responsable le corresponde demostrar que
14
los datos personales se conservan, o en su
caso, bloquean, suprimen o cancelan.
Art. 39
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
93
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
FINALIDAD
El tratamiento de datos personales deberá
limitarse al cumplimiento de las finalidades
previstas en el aviso de privacidad.
Si el responsable pretende tratar los datos
para un fin distinto al establecido, deberá
obtener nuevamente el consentimiento del
15
titular.
Art. 12
Art. 40
Paso 2. Política de
Art. 42
Gestión de Datos
Art. 43
Personales.
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
El titular podrá oponerse o revocar su
consentimiento para las finalidades distintas
a las que dieron origen a la relación jurídica,
sin que ello tenga como consecuencia la
conclusión del tratamiento.
PROPORCIONALIDAD
El tratamiento de datos personales será el
que resulte necesario, adecuado y relevante
en relación con las finalidades previstas en el
16
aviso de privacidad. En particular para datos
Art. 13
personales sensibles, el responsable deberá
Art. 45
Art. 46
Paso 2. Política de
Gestión de Datos
Personales.
limitar el periodo de tratamiento al mínimo
indispensable.
CONFIDENCIALIDAD
El responsable o terceros que intervengan en
cualquier fase del tratamiento de datos
17
personales deberán guardar confidencialidad
respecto de éstos, obligación que subsistirá
Paso 2. Política de
Art. 21
Art. 9
Gestión de Datos
Personales.
aun después de finalizar sus relaciones con el
94
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
titular o, en su caso, con el responsable.
RESPONSABILIDAD
Información de la organización
7 Establecimiento del
Contexto.
que
sea
relevante
para
el
establecimiento de la gestión
de riesgos de seguridad de la
información
8
del
El responsable tiene la obligación de velar y
Riesgo de Seguridad
responder por el tratamiento de los datos
de la Información.
personales en su posesión, debiendo adoptar
9
las medidas necesarias.
Paso 2. Política de
18
Evaluación
El responsable deberá tomar las medidas
necesarias y suficientes para garantizar que el
Art. 14
Art. 47
Gestión de Datos
Personales.
y
priorización de los riesgos de
del
Acciones para reducir, evitar,
transferir, aceptar los riesgos de
de la Información.
seguridad de la información.
Aceptación
del
Riesgo de Seguridad
sea respetado en todo momento por él o
de la Información.
relación jurídica.
la
evaluación,
seguridad de la información.
aviso de privacidad dado a conocer al titular,
por terceros con los que guarde alguna
para
identificación,
Riesgo de Seguridad
10
Tratamiento
Actividades
11
Comunicación
de Seguridad de la
Información.
Monitoreo
y
revisión del Riesgo de
Seguridad
Información.
de
para
aceptación
de
decidir
los
la
riesgos
resultantes de seguridad de la
información.
y
Consulta del Riesgo
12
Acciones
la
Acciones para comunicar los
riesgos de la organización a las
partes interesadas.
Acciones para monitorear los
riesgos y sus factores en la
organización.
95
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
7.1
Consideraciones
generales.
Factores de la organización que
inciden en la gestión de riesgos
de seguridad de la información.
Establecimiento de criterios y
7.2 Criterios básicos.
enfoque para la gestión de
seguridad de la información.
8.2 Identificación del
Los responsables deberán adoptar medidas
19
para
garantizar
el
debido
tratamiento,
privilegiando los intereses del titular y la
Paso 5. Realizar el
Art. 14
Art. 48
expectativa razonable de privacidad.
Análisis de Riesgo
de los Datos
Personales.
Riesgo.
8.3
Identificación de las fuentes de
riesgo
aplicables
a
la
organización.
Análisis
del
Riesgo.
Actividades para la conducción
de un análisis de riesgos de
seguridad de la información.
Actividades para llevar a cabo
8.4
Evaluación
del
Riesgo.
decisiones sobre los riesgos de
seguridad de la información
tomando en cuenta el contexto
de la organización.
9
Elaborar políticas y programas de privacidad
20
obligatorios y exigibles al interior de la
21
en
personal
Acciones para reducir, evitar,
transferir, aceptar los riesgos de
de la Información.
seguridad de la información.
Art. 48 - I
Gestión de Datos
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Personales.
práctica
un
programa
de
capacitación, actualización, y concientización
del
Tratamiento
Paso 2. Política de
organización.
Poner
del
Riesgo de Seguridad
sobre
las
obligaciones
materia de protección de datos personales.
en
Paso 9. Mejora
Art. 48 - II
Continua y
Capacitación.
Capacitación.
96
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
12
Monitoreo
revisión
de
y
Riesgos
de Seguridad de la
Información.
Establecer
22
un
sistema
de
supervisión
y
vigilancia interna, verificaciones o auditorías
externas para comprobar el cumplimiento de
Art. 48 - III
Paso 8. Revisiones y
Auditoría.
las políticas de privacidad.
12.1
Monitoreo
revisión de
y
factores
de riesgo.
12.2
Acciones para monitorear los
riesgos y sus factores en la
organización.
Actividades para el monitoreo y
revisión
de
los
factores
de
riesgo en la organización.
Monitoreo,
revisión, y mejora de
la gestión del riesgo.
Actividades para determinar lo
adecuado
gestión
y
del
efectivo
de
la
riesgo
en
la
organización.
Paso 3. Establecer
23
Destinar recursos para la instrumentación de
los programas y políticas de privacidad.
Funciones y
Art. 48 - IV
Obligaciones de
NO APLICA
NO APLICA
Quienes Traten
Datos Personales.
Establecimiento de criterios y
7.2 Criterios básicos.
seguridad de la información.
Instrumentar un procedimiento para que se
Paso 5. Realizar el
atienda el riesgo para la protección de datos
24
personales por la implementación de nuevos
productos, servicios, tecnologías y modelos
de negocios, así como para mitigarlos.
enfoque para la gestión de
Art. 48 - V
Factores a considerar para la
Análisis de Riesgo
de los Datos
7.3 Límites y alcance.
Personales.
definición de límites y alcance
de la gestión de seguridad de
la información.
7.4 Organización para
Organización
la Gestión del Riesgo
responsabilidades
y
de Seguridad de la
gestión del riesgo de seguridad
para
la
97
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Información.
de la información.
8.2 Identificación del
Riesgo.
8.3
Identificación de las fuentes de
riesgo
aplicables
a
la
organización.
Análisis
del
Riesgo.
Actividades para la conducción
de un análisis de riesgos de
seguridad de la información.
Actividades para llevar a cabo
8.4
Evaluación
del
Riesgo.
decisiones sobre los riesgos de
seguridad de la información
tomando en cuenta el contexto
de la organización.
9
del
Acciones para reducir, evitar,
Riesgo de Seguridad
transferir, aceptar los riesgos de
de la Información.
seguridad de la información.
10
Tratamiento
Aceptación
del
Riesgo de Seguridad
de la Información.
11
Comunicación
aceptación
para
de
decidir
los
la
riesgos
resultantes de seguridad de la
información.
y
Consulta del Riesgo
de Seguridad de la
Información.
Acciones
Acciones para comunicar los
riesgos de la organización a las
partes interesadas.
98
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
12
Monitoreo
y
revisión del Riesgo de
Seguridad
de
la
Monitoreo
y
Información.
12
revisión
de
Riesgos
de Seguridad de la
Información
Revisar
25
periódicamente
las
políticas
y
programas de seguridad para determinar las
Art. 48 - VI
modificaciones que se requieran.
Paso 8. Revisiones y
Auditoría.
12.1
Monitoreo
revisión de
y
factores
de riesgo
12.2
Acciones para monitorear los
riesgos y sus factores en la
organización.
Acciones para monitorear los
riesgos y sus factores en la
organización.
Actividades para el monitoreo y
revisión
de
los
factores
de
riesgo en la organización.
Monitoreo,
revisión, y mejora de
la gestión del riesgo
Actividades para determinar lo
adecuado
gestión
y
del
efectivo
de
la
riesgo
en
la
organización.
Paso 7.
Implementación de
las Medidas de
Establecer
26
procedimientos
para
recibir
responder dudas y quejas de los titulares de
los datos personales.
Seguridad
y
Art. 48 - VII
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
99
N°
Requerimiento normativo
Disponer
27
de
mecanismos
para
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
el
cumplimiento de las políticas y programas de
Art. 48 - VIII
privacidad, así como de sanciones por su
Descripción
Obligaciones de
Quienes Traten
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Datos Personales.
Establecer medidas para el aseguramiento de
Paso 6.
los datos personales, es decir, un conjunto
Identificación de las
de acciones técnicas y administrativas que
Art. 48 - IX
permitan garantizar al responsable el
de Brecha.
que establece la Ley y su Reglamento.
Establecer medidas para la trazabilidad de los
Paso 6.
datos personales, es decir acciones, medidas
y procedimientos técnicos que
medidas de
seguridad y Análisis
cumplimiento de los principios y obligaciones
29
nombre
Objetivo de Control
Paso 3. Funciones y
incumplimiento.
28
Identificador y
Identificación de las
permiten
Art. 48 - X
rastrear a los datos personales durante su
medidas de
seguridad y Análisis
tratamiento.
de Brecha.
Paso 7.
Implementación de
Todo responsable deberá designar a una
persona,
personales,
30
o
departamento
quien
dará
de
las Medidas de
datos
trámite
a
Seguridad
las
solicitudes de los titulares, para el ejercicio
Aplicables a los
Art. 30
Datos Personales.
de los derechos a que se refiere la Ley.
Cumplimiento
Asimismo fomentará la protección de datos
Cotidiano de
personales al interior de la organización.
Medidas de
Seguridad.
SEGURIDAD
31
Todo
responsable
tratamiento
de
que
datos
lleve
personales
a
cabo
deberá
Art. 19
Art. 4
Paso 6.
Art. 9
Identificación de las
100
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Art. 57
medidas de
establecer y mantener medidas de seguridad
administrativas,
permitan
técnicas
proteger
los
y
físicas
datos
que
Identificador y
nombre
Descripción
Objetivo de Control
seguridad y Análisis
personales
de Brecha.
contra daño, pérdida, alteración, destrucción
o el uso, acceso o tratamiento no autorizado.
No
adoptarán
medidas
de
seguridad
menores a aquellas que mantengan para el
manejo de su información.
Cuando el encargado se encuentre ubicado
en territorio mexicano, le serán aplicables las
disposiciones relativas a las medidas de
seguridad contenidas en el Capítulo III de
Reglamento.
El responsable determinará las medidas de
Establecimiento de criterios y
seguridad aplicables a los datos personales
7.2 Criterios básicos.
que trate, considerando el riesgo existente,
seguridad de la información.
las posibles consecuencias para los titulares,
la sensibilidad de los datos y el desarrollo
32
tecnológico.
De
manera
el
responsable
Factores a considerar para la
Paso 5. Realizar el
Art. 19
adicional,
enfoque para la gestión de
Art. 60
Análisis de Riesgo
7.3 Límites y alcance.
de los Datos
definición de límites y alcance
de la gestión de seguridad de
la información.
Personales.
procurará tomar en cuenta los siguientes
7.4 Organización para
Organización
y
elementos:
la Gestión del Riesgo
responsabilidades
I. El número de titulares;
de Seguridad de la
gestión del riesgo de seguridad
II. Las vulnerabilidades previas ocurridas en
Información.
de la información.
para
la
101
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
los sistemas de tratamiento;
III.
El
riesgo
por
el
valor
potencial
cuantitativo o cualitativo que pudieran tener
los datos personales tratados para una
tercera
persona
no
autorizada
para
8.2 Identificación del
Riesgo.
Identificación de las fuentes de
riesgo
aplicables
a
la
organización.
su
posesión, y
IV. Demás factores que puedan incidir en el
nivel de riesgo o que resulten de otras leyes
8.3
Análisis
o regulación aplicable al responsable.
Riesgo.
del
Actividades para la conducción
de un análisis de riesgos de
seguridad de la información.
Actividades para llevar a cabo
8.4
Evaluación
del
Riesgo.
decisiones sobre los riesgos de
seguridad de la información
tomando en cuenta el contexto
de la organización.
9
del
Acciones para reducir, evitar,
Riesgo de Seguridad
transferir, aceptar los riesgos de
de la Información.
seguridad de la información
10
Tratamiento
Aceptación
del
Riesgo de Seguridad
de la Información
Acciones
aceptación
para
de
decidir
los
la
riesgos
resultantes de seguridad de la
información.
102
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
11
Comunicación
y
Consulta del Riesgo
de Seguridad de la
Información.
12
Monitoreo
y
revisión del Riesgo de
Seguridad
de
la
Información.
33
Elaborar un inventario de datos personales y
de los sistemas de tratamiento.
Paso 4. Elaborar un
Art. 61 - I
Inventario de Datos
Personales.
Acciones para comunicar los
riesgos de la organización a las
partes interesadas.
Acciones para monitorear los
riesgos y sus factores en la
organización.
Proceso de identificación de los
8.2.2 Identificación de
activos para facilitar el análisis
activos
de riesgos de seguridad de la
información.
Paso 3. Establecer
34
Determinar las funciones y obligaciones de
las personas que traten datos personales.
Funciones y
Art. 61 - II
Obligaciones de
NO APLICA
NO APLICA
Quienes Traten
Datos Personales.
35
Contar con un análisis de riesgos de datos
Paso 5. Realizar el
personales
Análisis de Riesgo
que
consiste
en
identificar
peligros y estimar los riesgos a los datos
personales.
Art. 61 - III
de los Datos
Personales.
8.2 Identificación del
Riesgo.
8.3
Riesgo.
Identificación de las fuentes de
riesgo
aplicables
a
la
organización.
Análisis
del
Actividades para la conducción
de un análisis de riesgos de
seguridad de la información.
103
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Actividades para llevar a cabo
8.4
Evaluación
del
Riesgo.
decisiones sobre los riesgos de
seguridad de la información
tomando en cuenta el contexto
de la organización.
9
del
Acciones para reducir, evitar,
Riesgo de Seguridad
transferir, aceptar los riesgos de
de la Información.
seguridad de la información.
10
Tratamiento
Aceptación
del
Riesgo de Seguridad
de la Información.
11
Comunicación
de Seguridad de la
Información.
Monitoreo
y
revisión del Riesgo de
Seguridad
de
para
aceptación
de
decidir
los
la
riesgos
resultantes de seguridad de la
información.
y
Consulta del Riesgo
12
Acciones
la
Información.
Acciones para comunicar los
riesgos de la organización a las
partes interesadas.
Acciones para monitorear los
riesgos y sus factores en la
organización.
Proceso de identificación de los
Paso 6.
Establecer
36
las
medidas
de
seguridad
aplicables a los datos personales e identificar
aquéllas implementadas de manera efectiva.
Identificación de las
Art. 61 - IV
8.2.2 Identificación de
activos para facilitar el análisis
activos.
de riesgos de seguridad de la
información.
medidas de
seguridad y Análisis
de Brecha.
8.2.3 Identificación de
amenazas.
Identificación
de
amenazas
aplicables a la organización y
su probabilidad de ocurrencia.
104
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
8.2.4 Identificación de
controles existentes.
Identificación y documentación
de
controles
existentes
incluyendo su efectividad.
Consideraciones para identificar
8.2.5 Identificación de
las vulnerabilidades que pueden
vulnerabilidades.
ser
explotadas
en
la
organización.
Consideraciones para identificar
las
8.2.6 Identificación de
consecuencias.
consecuencias
de
las
vulnerabilidades en términos de
la integridad, confidencialidad,
y disponibilidad de los activos
de
información
de
la
organización.
8.3.2
Evaluación
de
consecuencias.
8.3.3
Evaluación
probabilidad
Identificación de escenarios de
impacto
al
negocio
por
incidentes de seguridad.
de
Determinación
de
probabilidad de un incidente de
incidente.
de
la
seguridad.
Actividades para llevar a cabo
8.4
Evaluación
Riesgo.
del
decisiones sobre los riesgos de
seguridad de la información
tomando en cuenta el contexto
de la organización.
105
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
9
del
Acciones para reducir, evitar,
Riesgo de Seguridad
transferir, aceptar los riesgos de
de la Información.
seguridad de la información.
10
Tratamiento
Aceptación
del
Riesgo de Seguridad
de la Información.
Acciones
para
aceptación
de
decidir
los
la
riesgos
resultantes de seguridad de la
información.
Proceso de identificación de los
8.2.2 Identificación de
activos para facilitar el análisis
activos
de riesgos de seguridad de la
información
8.2.3 Identificación de
amenazas.
37
Realizar el análisis de brecha que consiste en
Paso 6.
la diferencia de las medidas de seguridad
Identificación de las
existentes y aquéllas faltantes que resultan
necesarias para la protección de los datos
personales.
Art. 61 - V
8.2.4 Identificación de
controles existentes.
medidas de
seguridad y Análisis
de Brecha.
Identificación
de
amenazas
aplicables a la organización y
su probabilidad de ocurrencia.
Identificación y documentación
de
controles
existentes
incluyendo su efectividad.
Consideraciones para identificar
8.2.5 Identificación de
las vulnerabilidades que pueden
vulnerabilidades.
ser
explotadas
en
la
organización.
Consideraciones para identificar
las
consecuencias
de
las
8.2.6 Identificación de
vulnerabilidades en términos de
consecuencias.
la integridad, confidencialidad,
y disponibilidad de los activos
de
información
de
la
106
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
organización.
8.3.2
Evaluación
de
consecuencias.
8.3.3
Evaluación
probabilidad
Identificación de escenarios de
impacto
al
negocio
por
incidentes de seguridad
de
Determinación
de
probabilidad de un incidente de
incidente.
de
la
seguridad.
Actividades para llevar a cabo
8.4
Evaluación
del
Riesgo.
decisiones sobre los riesgos de
seguridad de la información
tomando en cuenta el contexto
de la organización.
Paso 7.
Implementación de
las Medidas de
Seguridad
Elaborar
38
un
plan
de
trabajo
para
la
implementación de las medidas de seguridad
faltantes, derivadas del análisis de brecha.
Aplicables a los
Art. 61 - VI
Datos Personales.
Plan de Trabajo
para la
Implementación de
las Medidas de
Seguridad Faltantes.
9.1
Descripción
general
del
Lineamientos
Tratamiento
del
tratamiento del riesgo.
para
el
Riesgo.
9.2 Modificación del
Medidas
Riesgo.
riesgo.
9.3
Retención
del
Riesgo.
9.4
Cancelación
Riesgo.
para
modificar
el
Lineamientos para la retención
del riesgo.
del
Lineamientos
para
la
cancelación del riesgo.
107
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
9.5 Transferencia del
Lineamientos
Riesgo.
trasferencia del riesgo.
10
Aceptación
del
Riesgo de Seguridad
de la Información.
11
Comunicación
y
de Seguridad de la
Información.
Monitoreo
revisión
de
y
Riesgos
de Seguridad de la
Información.
39
Llevar a cabo revisiones o auditorías.
Art. 61 - VII
Paso 8. Revisiones y
Auditoría.
12.1
Monitoreo
revisión de
y
factores
de riesgo.
12.2
para
aceptación
de
la
decidir
los
la
riesgos
resultantes de seguridad de la
información.
Consulta del Riesgo
12
Acciones
para
Acciones para comunicar los
riesgos de la organización a las
partes interesadas.
Acciones para monitorear los
riesgos y sus factores en la
organización.
Actividades para el monitoreo y
revisión
de
los
factores
de
riesgo en la organización.
Monitoreo,
revisión, y mejora de
la gestión del riesgo.
Actividades para determinar lo
adecuado
gestión
y
del
efectivo
de
la
riesgo
en
la
organización.
Paso 9. Mejora
40
Capacitar
al
personal
que
efectúe
el
tratamiento de datos personales.
Art. 61 - VIII
Continua y
NO APLICA
NO APLICA
Paso 5. Realizar el
8.2.2 Identificación de
Proceso de identificación de los
Análisis de Riesgo
activos.
activos para facilitar el análisis
Capacitación.
Capacitación.
41
Realizar un
registro de
los medios de
almacenamiento de los datos personales.
Art. 61 - IX
108
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
de los Datos
de riesgos de seguridad de la
Personales.
información.
3. Acciones a
42
Contar con una relación de las medidas de
seguridad.
implementar para la
Art. 61
seguridad de los
datos personales
8.2.4 Identificación de
controles existentes.
Identificación y documentación
de
controles
existentes
incluyendo su efectividad.
documentadas.
12
Actualizar las medidas de seguridad cuando:
Monitoreo
revisión
de
y
Riesgos
Acciones para monitorear los
I. Se modifiquen las medidas o procesos de
de Seguridad de la
riesgos y sus factores en la
seguridad para su mejora continua, derivado
Información.
organización.
de las revisiones a la política de seguridad
43
del responsable.
12.1
II. Se produzcan modificaciones sustanciales
revisión de
en el tratamiento que deriven en un cambio
de riesgo.
del nivel de riesgo.
III. Se vulneren los sistemas de tratamiento,
Art. 62
Monitoreo
y
factores
Actividades para el monitoreo y
revisión
de
los
factores
de
riesgo en la organización.
Paso 8. Revisiones y
Auditoría.
de conformidad con lo dispuesto en el
artículo 20 de la Ley y 63 de su Reglamento.
IV.
Exista
una
afectación
a
los
datos
12.2
Monitoreo,
personales distinta a las anteriores.
revisión, y mejora de
En el caso de datos personales sensibles, los
la gestión del riesgo.
responsables procurarán revisar y, en su caso,
Actividades para determinar lo
adecuado
gestión
y
del
efectivo
de
la
riesgo
en
la
organización.
actualizar las relaciones correspondientes una
vez al año.
VULNERACIONES A LA SEGURIDAD
109
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Consideraciones para identificar
Las vulneraciones de seguridad ocurridas en
cualquier fase del tratamiento que afecten de
o morales de los titulares, serán informadas
de forma inmediata por el responsable al
las vulnerabilidades que pueden
vulnerabilidades.
ser
Art. 20
Art. 63
Art. 64
titular, a fin de que este último pueda tomar
en
la
Auditoría.
Vulneraciones a la
Consideraciones para identificar
Seguridad de la
las
Información.
las medidas correspondientes a la defensa de
explotadas
organización.
Paso 8. Revisiones y
forma significativa los derechos patrimoniales
44
8.2.5 Identificación de
8.2.6 Identificación de
sus derechos.
consecuencias.
consecuencias
de
las
vulnerabilidades en términos de
la integridad, confidencialidad,
y disponibilidad de los activos
de
información
de
la
organización.
En caso de que ocurra una vulneración a la
seguridad
de
los
datos
personales,
8.2.5 Identificación de
el
vulnerabilidades.
responsable deberá informar al titular al
menos lo siguiente:
Consideraciones para identificar
las vulnerabilidades que pueden
ser
explotadas
en
la
organización.
Paso 8. Revisiones y
I. La naturaleza del incidente.
45
II. Los datos personales comprometidos.
Auditoría.
Art. 65
III. Las recomendaciones al titular acerca de
Seguridad de la
las medidas que éste pueda adoptar para
Información.
proteger sus intereses.
Consideraciones para identificar
Vulneraciones a la
las
8.2.6 Identificación de
consecuencias.
consecuencias
de
las
vulnerabilidades en términos de
la integridad, confidencialidad,
y disponibilidad de los activos
IV. Las acciones correctivas realizadas de
de
forma inmediata.
organización.
información
de
la
V. Los medios donde puede obtener más
110
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
información al respecto.
8.2.5 Identificación de
vulnerabilidades.
Consideraciones para identificar
las vulnerabilidades que pueden
ser
explotadas
en
la
organización.
En caso de que ocurra una vulneración a los
datos
personales,
el responsable
Consideraciones para identificar
deberá
Paso 8. Revisiones y
analizar las causas por las cuales se presentó
46
e
implementar
las
acciones
correctivas,
Auditoría.
Art. 66
Vulneraciones a la
preventivas y de mejora para adecuar las
Seguridad de la
medidas de seguridad correspondientes, a
Información.
las
8.2.6 Identificación de
consecuencias.
consecuencias
de
las
vulnerabilidades en términos de
la integridad, confidencialidad,
y disponibilidad de los activos
de
efecto de evitar que la vulneración se repita.
información
de
la
organización.
8.3.2
Evaluación
consecuencias.
de
Identificación de escenarios de
impacto
al
negocio
por
incidentes de seguridad.
ENCARGADO
El
47
encargado
tendrá
las
siguientes
obligaciones respecto del tratamiento que
realice por cuenta del responsable:
Art. 50
1. Recomendación
General.
NO APLICA
NO APLICA
111
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
I. Tratar únicamente los datos personales
conforme a las instrucciones del responsable.
II. Abstenerse de tratar los datos personales
para finalidades distintas a las instruidas por
el responsable.
III. Implementar las medidas de seguridad
conforme a la Ley, su Reglamento y las
demás disposiciones aplicables.
IV. Guardar confidencialidad respecto de los
datos personales tratados.
V. Suprimir los datos personales objeto de
tratamiento una vez cumplida la relación
jurídica
con
el
responsable
o
por
instrucciones del responsable, siempre y
cuando no exista una previsión legal que
exija la conservación de los datos personales.
VI.
Abstenerse
de
transferir
los
datos
personales salvo en el caso de que el
responsable
así
lo
determine,
la
comunicación derive de una subcontratación,
o
cuando
así
lo
requiera
la
autoridad
competente.
SUBCONTRATACIONES
112
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
Implementación de
La
48
relación
entre
el
responsable
y
el
las Medidas de
encargado deberá estar establecida mediante
Seguridad
cláusulas contractuales u otro instrumento
Aplicables a los
jurídico que decida el responsable, que
Art. 51
Datos Personales.
permita acreditar su existencia, alcance y
Cumplimiento
contenido.
Cotidiano de
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Medidas de
Seguridad.
Toda subcontratación de servicios por parte
del encargado que implique el tratamiento
de datos personales deberá ser autorizada
por el responsable, y se realizará en nombre
y por cuenta de este último.
Una
vez
obtenida
la
Paso 7.
autorización,
el
Implementación de
encargado deberá formalizar la relación con
el
49
subcontratado
a
través
de
las Medidas de
cláusulas
Seguridad
contractuales u otro instrumento jurídico que
Art. 54
Aplicables a los
permita acreditar su existencia, alcance y
Art. 55
Datos Personales.
contenido.
Cumplimiento
En caso de que la subcontratación no haya
Cotidiano de
sido prevista en cláusulas contractuales, el
Medidas de
encargado deberá obtener la autorización
Seguridad.
correspondiente
del
responsable
previamente.
La
obligación
de
acreditar
que
la
subcontratación se realizó con autorización
113
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
del responsable corresponderá al encargado.
CÓMPUTO EN LA NUBE
Para el tratamiento de datos personales en
servicios, aplicaciones e infraestructura en el
denominado cómputo en la nube, en los que
el responsable se adhiera a los mismos
mediante condiciones o cláusulas generales
de contratación, sólo podrá utilizar aquellos
servicios en los que el proveedor cumpla, al
menos, con lo siguiente:
Paso 7.
Implementación de
a) Tener y aplicar políticas de protección de
las Medidas de
datos personales afines a los principios y
Seguridad
deberes aplicables que establece la Ley y su
50
Reglamento;
b) Transparentar las subcontrataciones que
involucren la información sobre la que se
presta el servicio;
Art. 52 - I
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
c) Abstenerse de incluir condiciones en la
prestación del servicio que le autoricen o
permitan asumir la titularidad o propiedad de
la información sobre la que presta el servicio,
y
d) Guardar confidencialidad respecto de los
114
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
datos personales sobre los que se preste el
servicio.
Para el tratamiento de datos personales en
servicios, aplicaciones e infraestructura en el
denominado cómputo en la nube, en los que
el responsable se adhiera a los mismos
mediante condiciones o cláusulas generales
de contratación, sólo podrá utilizar aquellos
servicios en los que el proveedor cuente con
Paso 7.
mecanismos, al menos, para:
Implementación de
las Medidas de
a) Dar a conocer cambios en sus políticas de
Seguridad
privacidad o condiciones del servicio que
51
presta;
Art. 52 - II
b) Permitir al responsable limitar el tipo de
tratamiento de los datos personales sobre los
que se presta el servicio;
c)
Establecer
y
mantener
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
medidas
de
seguridad adecuadas para la protección de
los datos personales sobre los que se preste
el servicio;
d) Garantizar la supresión de los datos
115
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
personales una vez que haya concluido el
servicio prestado al responsable, y que este
último haya podido recuperarlos, y
e) Impedir el acceso a los datos personales a
personas que no cuenten con privilegios de
acceso, o bien en caso de que sea a solicitud
fundada
y
competente,
motivada
informar
de
de
autoridad
ese
hecho
al
responsable.
TRANSFERENCIAS
Cuando el responsable pretenda transferir los
datos personales a terceros nacionales o
52
extranjeros, distintos del encargado, deberá
Paso 7.
comunicar a éstos el aviso de privacidad y las
Implementación de
finalidades a las que el titular sujetó su
las Medidas de
tratamiento.
Art. 68
Seguridad
El tratamiento de los datos se hará conforme
Art. 71
Aplicables a los
Art. 72
Datos Personales.
Art. 74
Cumplimiento
a lo convenido en el aviso de privacidad, el
cual contendrá una cláusula en la que se
indique
si
la
Cotidiano de
transferencia de sus datos, de igual manera,
Medidas de
el tercero receptor, asumirá las mismas
Seguridad.
obligaciones
el
titular
que
acepta
o
no
Art. 36
correspondan
NO APLICA
NO APLICA
al
responsable que transfirió los datos.
116
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
Para
efectos
transferencia,
de
demostrar
sea
ésta
que
la
nacional
o
Implementación de
las Medidas de
Seguridad
internacional, se realiza conforme a lo que
53
establece la Ley y su Reglamento, la carga de
Art. 69
la prueba recaerá, en todos los casos, en el
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
Cumplimiento
responsable que transfiere y en el receptor
Cotidiano de
de los datos personales.
Medidas de
Seguridad.
Desarrollo de un enfoque de la
En
el caso de
transferencias
de
datos
7.2.1 Enfoque de la
personales entre sociedades controladoras,
Gestión del Riesgo.
subsidiarias o afiliadas bajo el control común
mismo grupo del responsable, el mecanismo
7.2.2
para garantizar que el receptor de los datos
previstas en la Ley, su Reglamento y demás
normativa aplicable, podrá ser la existencia
de normas internas de protección de datos
personales cuya observancia sea vinculante,
criterios
y
de
evaluación,
aceptación
de
riesgos.
sociedad matriz o a cualquier sociedad del
personales cumplirá con las disposiciones
los
impacto,
del mismo grupo del responsable, o a una
54
gestión del riesgo para abordar
Art. 70
1. Recomendación
Criterios
de
evaluación del Riesgo.
Factores de la organización a
considerar para la evaluación
del riesgo.
General
7.2.3 Criterio para el
Impacto.
Factores de la organización a
considerar para determinar el
impacto de los riesgos.
siempre y cuando éstas cumplan con lo
establecido en la Ley, su
demás normativa aplicable.
Reglamento y
7.2.4
Criterio
aceptación
Riesgo.
para
del
Definición de escalas y niveles
de aceptación del riesgo.
117
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
11
Comunicación
consulta
y
del Riesgo
de Seguridad de la
Información.
Acciones para comunicar los
riesgos de la organización a las
partes interesadas.
Paso 7.
Implementación de
La
transferencia
deberá
formalizarse
las Medidas de
mediante algún mecanismo que permita
55
Seguridad
demostrar que el responsable transferente
Art. 73
Aplicables a los
comunicó
Art. 75
Datos Personales.
al
responsable
receptor
las
condiciones en las que el titular consintió el
Cumplimiento
tratamiento de sus datos personales.
Cotidiano de
NO APLICA
NO APLICA
Medidas de
Seguridad.
118
4.4 ISO/IEC 27006:2011, Information technology -- Security techniques -- Requirements for
bodies providing audit and certification of information security management systems.
Introducción. Este estándar establece los requerimientos y es una guía para entidades que proporcionan auditoría y
certificación de sistemas de gestión de seguridad de la información. Su enfoque principal es para ayudar a la acreditación
de entidades de certificación de sistemas de gestión de seguridad de la información.
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
RESPONSABLE
9.2.3.3.1
Establece la responsabilidad del
Cumplimiento legal y
cumplimiento
regulatorio.
regulatorio.
9.1.6
Reporte
auditoría
de
Describe
de
componen
certificación.
Describe
personales, deberán observar los principios
de
licitud,
consentimiento,
información,
calidad, finalidad, lealtad, proporcionalidad y
Art. 6
Art. 9
1. Recomendación
General.
9.3
Actividades
elementos
un
reporte
y
que
de
auditoría de certificación.
Los responsables en el tratamiento de datos
1
los
legal
de
supervisión.
las
actividades
de
supervisión y seguimiento para
el mantenimiento del sistema
de gestión.
responsabilidad, previstos en la Ley.
Describe las circunstancias y
9.4 Recertificación.
condiciones para mantener la
certificación.
10.3.1
Implementación
de
un
de
Sistema
Gestión de Seguridad
Recomienda la implementación
del sistema de gestión con
base en ISO 27001.
119
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
de la Información.
LICITUD Y LEALTAD
Los datos personales deberán recabarse y
tratarse de manera lícita, privilegiando la
protección de los intereses del titular y la
expectativa
2
razonable
de
privacidad,
sin
importar la fuente de la que se obtienen los
datos.
Art. 7
Art. 7
Art. 10
Art. 44
Paso 1. Alcance y
Objetivos.
NO APLICA
NO APLICA
NO APLICA
NO APLICA
La obtención de datos personales no debe
hacerse a través de medios engañosos o
fraudulentos.
CONSENTIMIENTO
El tratamiento de datos personales estará
sujeto al consentimiento de su titular, salvo
las excepciones previstas por la Ley.
Los
3
patrimoniales
Art. 11
requerirán consentimiento expreso de su
datos
financieros
o
Art. 12
titular.
Art. 8
Art. 15
Paso 2. Política de
Gestión de Datos
Personales.
Cuando los datos personales se obtengan
personalmente o de manera directa de su
titular, el consentimiento deberá ser previo al
tratamiento.
120
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
El responsable deberá facilitar al titular
4
medios sencillos y gratuitos para manifestar
Identificador y
nombre
Descripción
Objetivo de Control
Paso 2. Política de
Art. 8
Art. 16
su consentimiento expreso.
Gestión de Datos
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Personales.
Tratándose de datos personales sensibles, el
responsable
deberá
obtener
el
consentimiento expreso y por escrito del
titular
para
su
tratamiento.
Paso 2. Política de
5
No podrán crearse bases de datos que
Art. 9
Art. 56
contengan datos personales sensibles, sin
Gestión de Datos
Personales.
que se justifique la creación de las mismas
para
finalidades
legítimas,
concretas
y
acordes con las actividades o fines explícitos
que persigue el sujeto regulado.
Paso 7.
Implementación de
las Medidas de
Para efectos de demostrar la obtención del
6
consentimiento,
recaerá,
en
la
carga
todos
los
de
la
casos,
Seguridad
prueba
en
Art. 20
el
responsable.
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
INFORMACIÓN
A
7
través
del
aviso
de
privacidad,
el
responsable tendrá la obligación de informar
a los titulares, los datos que recaba, las
Art. 14
Art. 15
Art. 23
Art. 112
Paso 2. Política de
Gestión de Datos
121
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
finalidades necesarias y las que no lo son
para
la
relación
jurídica,
así
como
Identificador y
nombre
Descripción
Objetivo de Control
Personales.
las
características principales de su tratamiento.
Cuando se traten datos personales como
parte de un proceso de toma de decisiones
sin que intervenga la valoración de una
persona
física,
el
responsable
deberá
informar al titular que esta situación ocurre.
Si obtiene los datos de manera automática,
deberá informar al titular sobre el uso de
estas tecnologías y la forma en que podrá
deshabilitarlas.
Paso 7.
Implementación de
las Medidas de
Cuando los datos personales sean obtenidos
directamente
8
del
titular,
el
aviso
Seguridad
de
privacidad debe ponerse a disposición de los
Art. 3, I
titulares a través de formatos impresos,
Art. 17
Art. 27
digitales, visuales, sonoros o cualquier otra
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Cumplimiento
tecnología.
Cotidiano de
Medidas de
Seguridad.
9
El aviso de privacidad
debe contener un
mecanismo,
el
para
que
titular
pueda
manifestar su negativa al tratamiento de sus
datos
personales.
Cuando
los
datos
se
Art. 14
Art. 18
Art. 29
Art. 32
Paso 7.
Implementación de
las Medidas de
Seguridad
122
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
obtengan de manera indirecta del titular, el
Aplicables a los
responsable deberá darle a conocer el aviso
Datos Personales.
de privacidad y sus cambios.
Identificador y
nombre
Descripción
Objetivo de Control
Cumplimiento
Cotidiano de
Medidas de
Seguridad
Paso 7.
Implementación de
las Medidas de
Para efectos de demostrar la puesta a
disposición
10
del
aviso
de
privacidad
Seguridad
en
cumplimiento del principio de información, la
Art. 31
carga de la prueba recaerá, en todos los
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Cumplimiento
casos, en el responsable.
Cotidiano de
Medidas de
Seguridad.
CALIDAD
El responsable procurará que los datos
personales contenidos en las bases de datos
11
sean
exactos,
completos,
pertinentes,
correctos y actualizados según se requiera
Paso 2. Política de
Art. 11
Art. 36
Gestión de Datos
Personales.
para el cumplimiento de la finalidad para la
cual son tratados.
Cuando los datos de carácter personal hayan
dejado
12
de
ser
necesarios
para
el
cumplimiento de las finalidades previstas por
el aviso de privacidad y las disposiciones
Art. 3 III
Art. 11
Paso 2. Política de
Art. 37
Gestión de Datos
Personales.
legales aplicables, deberán ser cancelados,
123
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
previo bloqueo de los mismos.
El responsable de la base de datos estará
obligado a eliminar la información relativa al
incumplimiento
de
obligaciones
contractuales, una vez que transcurra un
plazo de setenta y dos meses, contado a
partir de la fecha calendario en que se
presente el mencionado incumplimiento.
El responsable establecerá y documentará
13
procedimientos para la conservación y, en su
caso, bloqueo y supresión de los datos
Paso 2. Política de
Art. 38
Gestión de Datos
NO APLICA
NO APLICA
Personales.
personales.
Paso 7.
Implementación de
las Medidas de
Seguridad
Al responsable le corresponde demostrar que
14
los datos personales se conservan, o en su
caso, bloquean, suprimen o cancelan.
Aplicables a los
Art. 39
Datos Personales.
10.3.1
Implementación
de
Recomienda la implementación
un
de
del sistema de gestión con
Sistema
Cumplimiento
Gestión de Seguridad
Cotidiano de
de la Información.
base en ISO 27001.
Medidas de
Seguridad.
FINALIDAD
124
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Art. 40
Paso 2. Política de
Art. 42
Gestión de Datos
Art. 43
Personales.
Identificador y
nombre
Descripción
Objetivo de Control
El tratamiento de datos personales deberá
limitarse al cumplimiento de las finalidades
previstas en el aviso de privacidad.
Si el responsable pretende tratar los datos
para un fin distinto al establecido, deberá
obtener nuevamente el consentimiento del
15
titular.
Art. 12
NO APLICA
NO APLICA
NO APLICA
NO APLICA
El titular podrá oponerse o revocar su
consentimiento para las finalidades distintas
a las que dieron origen a la relación jurídica,
sin que ello tenga como consecuencia la
conclusión del tratamiento.
PROPORCIONALIDAD
El tratamiento de datos personales será el
que resulte necesario, adecuado y relevante
en relación con las finalidades previstas en el
16
aviso de privacidad. En particular para datos
Art. 13
personales sensibles, el responsable deberá
Art. 45
Art. 46
Paso 2. Política de
Gestión de Datos
Personales.
limitar el periodo de tratamiento al mínimo
indispensable.
CONFIDENCIALIDAD
El responsable o terceros que intervengan en
cualquier fase del tratamiento de datos
17
personales deberán guardar confidencialidad
respecto de éstos, obligación que subsistirá
aun después de finalizar sus relaciones con el
Paso 2. Política de
Art. 21
Art. 9
Gestión de Datos
Personales.
8.5 Confidencialidad.
Establece
la
registros
confidenciales
protección
de
del
sistema de gestión.
titular o, en su caso, con el responsable.
125
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
RESPONSABILIDAD
cumplimiento
regulatorio.
regulatorio.
Reporte
auditoría
responder por el tratamiento de los datos
de
Describe
de
componen
certificación.
personales en su posesión, debiendo adoptar
los
Paso 2. Política de
Art. 14
Art. 47
necesarias y suficientes para garantizar que el
Gestión de Datos
9.3
Actividades
de
supervisión.
un
reporte
que
de
las
actividades
de
supervisión y seguimiento para
de gestión.
Describe las circunstancias y
9.4 Recertificación.
sea respetado en todo momento por él o
elementos
y
el mantenimiento del sistema
Personales.
aviso de privacidad dado a conocer al titular,
legal
auditoría de certificación.
Describe
las medidas necesarias.
El responsable deberá tomar las medidas
Establece la responsabilidad del
Cumplimiento legal y
9.1.6
El responsable tiene la obligación de velar y
18
9.2.3.3.1
condiciones para mantener la
certificación.
por terceros con los que guarde alguna
10.3.1
relación jurídica.
Implementación
de
Recomienda la implementación
un
de
del sistema de gestión con
Sistema
Gestión de Seguridad
base en ISO 27001.
de la Información.
19
9.2.3.3.1
Establece la responsabilidad del
Los responsables deberán adoptar medidas
Paso 5. Realizar el
Cumplimiento legal y
cumplimiento
para
Análisis de Riesgo
regulatorio.
regulatorio.
garantizar
el
debido
tratamiento,
privilegiando los intereses del titular y la
expectativa razonable de privacidad.
Art. 14
Art. 48
de los Datos
Personales.
9.1.6
Reporte
auditoría
certificación.
de
Describe
de
componen
los
legal
elementos
un
reporte
y
que
de
auditoría de certificación.
126
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Describe
9.3
Actividades
de
supervisión.
las
actividades
de
supervisión y seguimiento para
el mantenimiento del sistema
de gestión.
Describe las circunstancias y
9.4 Recertificación.
condiciones para mantener la
certificación.
10.3.1
Implementación
de
Recomienda la implementación
un
de
del sistema de gestión con
Sistema
Gestión de Seguridad
base en ISO 27001.
de la Información.
10.3.1
Elaborar políticas y programas de privacidad
20
obligatorios y exigibles al interior de la
Art. 48 - I
organización.
Paso 2. Política de
Implementación
de
Recomienda la implementación
Gestión de Datos
un
de
del sistema de gestión con
Personales.
Sistema
Gestión de Seguridad
base en ISO 27001.
de la Información.
Poner
21
en
práctica
un
programa
de
capacitación, actualización, y concientización
del
personal
sobre
las
obligaciones
en
Paso 9. Mejora
Art. 48 - II
materia de protección de datos personales.
Establecer
22
un
sistema
de
supervisión
Continua y
Capacitación.
Capacitación.
y
vigilancia interna, verificaciones o auditorías
externas para comprobar el cumplimiento de
Art. 48 - III
Paso 8. Revisiones y
Auditoría.
10.3.1
Implementación
de
Recomienda la implementación
un
de
del sistema de gestión con
Sistema
Gestión de Seguridad
base en ISO 27001.
de la Información.
9.1.1.1
Criterios
auditoría
certificación.
de
Establece
de
auditoría al utilizado en ISO
como
criterio
de
27001.
127
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
las políticas de privacidad.
Define el alcance con el cual se
9.1.2 Alcance de la
realizará la auditoría para la
certificación.
organización
incluyendo
sus
riesgos.
9.1.5 Metodología de
auditoría.
9.1.6
Reporte
de
Describe
de
componen
certificación.
Etapa 1.
de
los
elementos
un
reporte
que
de
Revisión del diseño del sistema
de gestión.
Auditoría
Etapa 2.
Define la auditoría en sitio del
sistema de gestión.
Describe
9.3
uso
auditoría de certificación.
Auditoría
9.2.3.2
el
procedimientos para ejecutar la
auditoría.
auditoría
9.2.3.1
Requiere
Actividades
de
supervisión.
las
actividades
de
supervisión y seguimiento para
el mantenimiento del sistema
de gestión.
9.3.1
Auditorías
supervisión.
de
Define
las
supervisión
auditorías
y
de
mantenimiento
del sistema de gestión.
128
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Describe las circunstancias y
9.4 Recertificación.
condiciones para mantener la
certificación.
9.4.1
Auditorías
de
recertificación.
9.5
Condiciones para responder a
las no conformidades.
Auditorías
especiales.
Describe las circunstancias y
condiciones para una auditoría
especial.
Define a los cambios mayores
9.5.1
Casos
especiales.
en el sistema de gestión para
llevar a cabo una auditoría
especial.
Paso 3. Establecer
23
Destinar recursos para la instrumentación de
los programas y políticas de privacidad.
Funciones y
Art. 48 - IV
Implementación
de
Recomienda la implementación
Obligaciones de
un
de
del sistema de gestión con
Quienes Traten
Gestión de Seguridad
Datos Personales.
Instrumentar un procedimiento para que se
Paso 5. Realizar el
atienda el riesgo para la protección de datos
24
personales por la implementación de nuevos
productos, servicios, tecnologías y modelos
de negocios, así como para mitigarlos.
Art. 48 - V
10.3.1
Análisis de Riesgo
de los Datos
Personales.
Sistema
base en ISO 27001.
de la Información.
Establece el proceso de revisión
7.1.1.1
Análisis
de
de la organización cliente en
y
cuanto a sus riesgos y su
competencias
revisión contractual.
competencia en seguridad de la
información.
129
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
9.1.1.1
Criterios
auditoría
de
Establece
de
auditoría al utilizado en ISO
certificación.
como
criterio
de
27001.
Define el alcance con el cual se
9.1.2 Alcance de la
realizará la auditoría para la
certificación.
organización
incluyendo
sus
riesgos.
9.1.5 Metodología de
auditoría.
Revisar
25
periódicamente
las
políticas
y
programas de seguridad para determinar las
modificaciones que se requieran.
Art. 48 - VI
Paso 8. Revisiones y
Auditoría.
9.1.6
auditoría
de
Describe
de
componen
certificación.
Auditoría
Auditoría
los
elementos
un
reporte
que
de
Revisión del diseño del sistema
Define la auditoría en sitio del
sistema de gestión.
Describe
Actividades
supervisión.
de
de gestión.
Etapa 2.
9.3
uso
auditoría de certificación.
Etapa 1.
9.2.3.2
el
procedimientos para ejecutar la
auditoría.
Reporte
9.2.3.1
Requiere
de
las
actividades
de
supervisión y seguimiento para
el mantenimiento del sistema
de gestión.
130
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
9.3.1
Auditorías
de
supervisión.
Define
las
supervisión
auditorías
y
de
mantenimiento
del sistema de gestión.
Describe las circunstancias y
9.4 Recertificación.
condiciones para mantener la
certificación.
9.4.1
Auditorías
de
recertificación.
9.5
Condiciones para responder a
las no conformidades.
Auditorías
especiales.
Describe las circunstancias y
condiciones para una auditoría
especial.
Define a los cambios mayores
9.5.1
especiales.
Casos
en el sistema de gestión para
llevar a cabo una auditoría
especial.
Paso 7.
Implementación de
las Medidas de
Establecer
26
procedimientos
para
recibir
responder dudas y quejas de los titulares de
los datos personales.
Seguridad
y
Art. 48 - VII
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
131
N°
Requerimiento normativo
Disponer
27
de
mecanismos
para
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
el
Paso 3. Funciones y
cumplimiento de las políticas y programas de
Art. 48 - VIII
privacidad, así como de sanciones por su
incumplimiento.
Paso 6.
los datos personales, es decir, un conjunto
Identificación de las
de acciones técnicas y administrativas que
Art. 48 - IX
permitan garantizar al responsable el
medidas de
seguridad y Análisis
cumplimiento de los principios y obligaciones
de Brecha.
que establece la Ley y su Reglamento.
29
Quienes Traten
Datos Personales.
Establecer medidas para el aseguramiento de
28
Obligaciones de
Establecer medidas para la trazabilidad de los
Paso 6.
datos personales, es decir acciones, medidas
Identificación de las
y procedimientos técnicos que
permiten
Art. 48 - X
rastrear a los datos personales durante su
medidas de
seguridad y Análisis
tratamiento.
de Brecha.
Identificador y
nombre
Descripción
Objetivo de Control
10.3.1
Implementación
de
Recomienda la implementación
un
de
del sistema de gestión con
Sistema
Gestión de Seguridad
base en ISO 27001.
de la Información.
10.3.1
Implementación
de
Recomienda la implementación
un
de
del sistema de gestión con
Sistema
Gestión de Seguridad
base en ISO 27001.
de la Información.
10.3.1
Implementación
de
Recomienda la implementación
un
de
del sistema de gestión con
Sistema
Gestión de Seguridad
base en ISO 27001.
de la Información.
Paso 7.
Implementación de
Todo responsable deberá designar a una
persona,
personales,
30
o
departamento
quien
dará
de
trámite
las Medidas de
datos
a
solicitudes de los titulares, para el ejercicio
de los derechos a que se refiere la Ley.
Asimismo fomentará la protección de datos
personales al interior de la organización.
Seguridad
las
Art. 30
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
10.3.1
Implementación
de
Recomienda la implementación
un
de
del sistema de gestión con
Sistema
Gestión de Seguridad
base en ISO 27001.
de la Información.
Medidas de
Seguridad.
SEGURIDAD
132
N°
Requerimiento normativo
Todo
responsable
tratamiento
de
que
datos
lleve
a
personales
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
cabo
deberá
establecer y mantener medidas de seguridad
administrativas,
permitan
técnicas
proteger
los
y
físicas
datos
personales
adoptarán
medidas
de
seguridad
Descripción
9.2.3.3.1
Establece la responsabilidad del
Cumplimiento legal y
cumplimiento
regulatorio.
regulatorio.
Reporte
auditoría
de
Describe
de
componen
certificación.
o el uso, acceso o tratamiento no autorizado.
No
nombre
Objetivo de Control
9.1.6
que
contra daño, pérdida, alteración, destrucción
31
Identificador y
Paso 6.
Art. 19
menores a aquellas que mantengan para el
Art. 4
Identificación de las
Art. 9
medidas de
Art. 57
seguridad y Análisis
manejo de su información.
de Brecha.
los
Actividades
elementos
un
reporte
y
que
de
auditoría de certificación.
Describe
9.3
legal
de
supervisión.
las
actividades
de
supervisión y seguimiento para
el mantenimiento del sistema
de gestión.
Describe las circunstancias y
9.4 Recertificación.
condiciones para mantener la
certificación.
Cuando el encargado se encuentre ubicado
10.3.1
en territorio mexicano, le serán aplicables las
disposiciones relativas a las medidas de
seguridad contenidas en el Capítulo III de
Implementación
de
Recomienda la implementación
un
de
del sistema de gestión con
Sistema
Gestión de Seguridad
Reglamento.
base en ISO 27001.
de la Información.
El responsable determinará las medidas de
seguridad aplicables a los datos personales
que trate, considerando el riesgo existente,
las posibles consecuencias para los titulares,
32
la sensibilidad de los datos y el desarrollo
tecnológico.
Paso 5. Realizar el
Art. 19
Art. 60
Análisis de Riesgo
de los Datos
Personales.
De
manera
adicional,
el
responsable
10.3.1
Implementación
de
Recomienda la implementación
un
de
del sistema de gestión con
Sistema
Gestión de Seguridad
base en ISO 27001.
de la Información.
procurará tomar en cuenta los siguientes
elementos:
133
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
I. El número de titulares;
II. Las vulnerabilidades previas ocurridas en
los sistemas de tratamiento;
III.
El
riesgo
por
el
valor
potencial
cuantitativo o cualitativo que pudieran tener
los datos personales tratados para una
tercera
persona
no
autorizada
para
su
posesión, y
IV. Demás factores que puedan incidir en el
nivel de riesgo o que resulten de otras leyes
o regulación aplicable al responsable.
10.3.1
33
Elaborar un inventario de datos personales y
de los sistemas de tratamiento.
Art. 61 - I
Paso 4. Elaborar un
Implementación
de
Recomienda la implementación
Inventario de Datos
un
de
del sistema de gestión con
Personales.
Sistema
Gestión de Seguridad
base en ISO 27001.
de la Información.
Paso 3. Establecer
34
Determinar las funciones y obligaciones de
las personas que traten datos personales.
Funciones y
Art. 61 - II
Implementación
de
Recomienda la implementación
Obligaciones de
un
de
del sistema de gestión con
Quienes Traten
Gestión de Seguridad
Datos Personales.
Contar con un análisis de riesgos de datos
35
personales
que
consiste
en
identificar
peligros y estimar los riesgos a los datos
personales.
Paso 5. Realizar el
Art. 61 - III
10.3.1
Análisis de Riesgo
de los Datos
Personales.
Sistema
base en ISO 27001.
de la Información.
10.3.1
Implementación
de
Recomienda la implementación
un
de
del sistema de gestión con
Sistema
Gestión de Seguridad
base en ISO 27001.
de la Información.
134
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Paso 6.
Establecer
36
las
medidas
de
seguridad
aplicables a los datos personales e identificar
Identificación de las
Art. 61 - IV
aquéllas implementadas de manera efectiva.
medidas de
seguridad y Análisis
de Brecha.
37
Realizar el análisis de brecha que consiste en
Paso 6.
la diferencia de las medidas de seguridad
Identificación de las
existentes y aquéllas faltantes que resultan
Art. 61 - V
necesarias para la protección de los datos
medidas de
seguridad y Análisis
personales.
de Brecha.
Identificador y
nombre
Descripción
Objetivo de Control
10.3.1
Implementación
de
Recomienda la implementación
un
de
del sistema de gestión con
Sistema
Gestión de Seguridad
base en ISO 27001.
de la Información.
10.3.1
Implementación
de
Recomienda la implementación
un
de
del sistema de gestión con
Sistema
Gestión de Seguridad
base en ISO 27001.
de la Información.
Paso 7.
Implementación de
las Medidas de
Seguridad
Elaborar
38
un
plan
de
trabajo
para
la
implementación de las medidas de seguridad
Aplicables a los
Art. 61 - VI
faltantes, derivadas del análisis de brecha.
Datos Personales.
Plan de Trabajo
para la
10.3.1
Implementación
de
Recomienda la implementación
un
de
del sistema de gestión con
Sistema
Gestión de Seguridad
base en ISO 27001.
de la Información.
Implementación de
las Medidas de
Seguridad Faltantes.
9.1.1.1
Criterios
auditoría
39
Llevar a cabo revisiones o auditorías.
Art. 61 - VII
Paso 8. Revisiones y
Auditoría.
de
Establece
de
auditoría al utilizado en ISO
certificación.
como
criterio
de
27001.
Define el alcance con el cual se
9.1.2 Alcance de la
realizará la auditoría para la
certificación.
organización
incluyendo
sus
riesgos.
135
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
9.1.5 Metodología de
auditoría.
9.1.6
Reporte
Describe
de
componen
de
los
elementos
un
reporte
que
de
auditoría de certificación.
Auditoría
Etapa 1.
Revisión del diseño del sistema
de gestión.
Auditoría
Etapa 2.
Define la auditoría en sitio del
sistema de gestión.
Describe
9.3
uso
procedimientos para ejecutar la
de
certificación.
9.2.3.2
el
auditoría.
auditoría
9.2.3.1
Requiere
Actividades
de
supervisión.
las
actividades
de
supervisión y seguimiento para
el mantenimiento del sistema
de gestión.
9.3.1
Auditorías
de
supervisión.
Define
las
supervisión
auditorías
y
de
mantenimiento
del sistema de gestión.
Describe las circunstancias y
9.4 Recertificación.
condiciones para mantener la
certificación.
9.4.1
Auditorías
de
recertificación.
9.5
las no conformidades.
Auditorías
especiales.
9.5.1
especiales.
Condiciones para responder a
Describe las circunstancias y
condiciones para una auditoría
especial.
Casos
Define a los cambios mayores
en el sistema de gestión para
llevar a cabo una auditoría
136
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
especial.
Paso 9. Mejora
40
Capacitar
al
personal
que
efectúe
el
tratamiento de datos personales.
Art. 61 - VIII
Continua y
Capacitación.
Capacitación.
41
Realizar un
registro de
los medios de
almacenamiento de los datos personales.
Art. 61 - IX
10.3.1
Implementación
de
Recomienda la implementación
un
de
del sistema de gestión con
Sistema
Gestión de Seguridad
base en ISO 27001.
de la Información.
Paso 5. Realizar el
10.3.1
Análisis de Riesgo
Implementación
de
Recomienda la implementación
un
de
del sistema de gestión con
de los Datos
Personales.
Sistema
Gestión de Seguridad
base en ISO 27001.
de la Información.
3. Acciones a
42
Contar con una relación de las medidas de
seguridad.
implementar para la
Art. 61
10.3.1
Implementación
de
Recomienda la implementación
seguridad de los
un
de
del sistema de gestión con
datos personales
Gestión de Seguridad
documentadas.
Sistema
base en ISO 27001.
de la Información.
Actualizar las medidas de seguridad cuando:
I. Se modifiquen las medidas o procesos de
seguridad para su mejora continua, derivado
10.3.1
de las revisiones a la política de seguridad
43
del responsable.
II. Se produzcan modificaciones sustanciales
en el tratamiento que deriven en un cambio
del nivel de riesgo.
Art. 62
Paso 8. Revisiones y
Auditoría.
Implementación
de
Recomienda la implementación
un
de
del sistema de gestión con
Sistema
Gestión de Seguridad
base en ISO 27001.
de la Información.
III. Se vulneren los sistemas de tratamiento,
de conformidad con lo dispuesto en el
artículo 20 de la Ley y 63 de su Reglamento.
137
N°
Requerimiento normativo
IV.
Exista
una
afectación
a
los
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
datos
personales distinta a las anteriores.
En el caso de datos personales sensibles, los
responsables procurarán revisar y, en su caso,
actualizar las relaciones correspondientes una
vez al año.
VULNERACIONES A LA SEGURIDAD
Las vulneraciones de seguridad ocurridas en
cualquier fase del tratamiento que afecten de
Paso 8. Revisiones y
forma significativa los derechos patrimoniales
44
o morales de los titulares, serán informadas
de forma inmediata por el responsable al
Art. 20
Art. 63
Art. 64
titular, a fin de que este último pueda tomar
Auditoría.
Vulneraciones a la
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Seguridad de la
Información.
las medidas correspondientes a la defensa de
sus derechos.
En caso de que ocurra una vulneración a la
seguridad
de
los
datos
personales,
el
responsable deberá informar al titular al
menos lo siguiente:
Paso 8. Revisiones y
I. La naturaleza del incidente.
45
II. Los datos personales comprometidos.
Auditoría.
Art. 65
Vulneraciones a la
III. Las recomendaciones al titular acerca de
Seguridad de la
las medidas que éste pueda adoptar para
Información.
proteger sus intereses.
IV. Las acciones correctivas realizadas de
forma inmediata.
V. Los medios donde puede obtener más
138
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
información al respecto.
En caso de que ocurra una vulneración a los
datos
personales,
el responsable
deberá
Paso 8. Revisiones y
analizar las causas por las cuales se presentó
46
e
implementar
las
acciones
correctivas,
Auditoría.
Art. 66
Vulneraciones a la
preventivas y de mejora para adecuar las
Seguridad de la
medidas de seguridad correspondientes, a
Información.
NO APLICA
NO APLICA
efecto de evitar que la vulneración se repita.
ENCARGADO
El
encargado
tendrá
las
siguientes
obligaciones respecto del tratamiento que
realice por cuenta del responsable:
47
I. Tratar únicamente los datos personales
conforme a las instrucciones del responsable.
II. Abstenerse de tratar los datos personales
Art. 50
1. Recomendación
General.
8.5 Confidencialidad.
Establece
la
registros
confidenciales
protección
de
del
sistema de gestión.
para finalidades distintas a las instruidas por
el responsable.
III. Implementar las medidas de seguridad
139
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
conforme a la Ley, su Reglamento y las
demás disposiciones aplicables.
IV. Guardar confidencialidad respecto de los
datos personales tratados.
V. Suprimir los datos personales objeto de
tratamiento una vez cumplida la relación
jurídica
con
el
responsable
o
por
instrucciones del responsable, siempre y
cuando no exista una previsión legal que
exija la conservación de los datos personales.
VI.
Abstenerse
de
transferir
los
datos
personales salvo en el caso de que el
responsable
así
lo
determine,
la
comunicación derive de una subcontratación,
o
cuando
así
lo
requiera
la
autoridad
competente.
SUBCONTRATACIONES
Paso 7.
Implementación de
La
48
relación
entre
el
responsable
y
el
las Medidas de
encargado deberá estar establecida mediante
Seguridad
cláusulas contractuales u otro instrumento
Aplicables a los
jurídico que decida el responsable, que
Art. 51
Datos Personales.
permita acreditar su existencia, alcance y
Cumplimiento
contenido.
Cotidiano de
8.5 Confidencialidad.
Establece
la
protección
registros
confidenciales
de
del
sistema de gestión.
Medidas de
Seguridad.
140
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Toda subcontratación de servicios por parte
del encargado que implique el tratamiento
de datos personales deberá ser autorizada
por el responsable, y se realizará en nombre
y por cuenta de este último.
Una
vez
obtenida
la
autorización,
Paso 7.
el
Implementación de
encargado deberá formalizar la relación con
el
subcontratado
a
través
de
contractuales u otro instrumento jurídico que
49
las Medidas de
cláusulas
permita acreditar su existencia, alcance y
contenido.
Seguridad
de
Aplicables a los
información entre el
Art. 55
Datos Personales.
ente certificador y sus
Cumplimiento
clientes.
Consideraciones para proteger
la
información
intercambia
entre
que
el
se
ente
certificador y la organización
cliente.
Cotidiano de
sido prevista en cláusulas contractuales, el
Medidas de
encargado deberá obtener la autorización
del
Intercambio
Art. 54
En caso de que la subcontratación no haya
correspondiente
8.6
Seguridad.
responsable
previamente.
La
obligación
de
acreditar
que
la
subcontratación se realizó con autorización
del responsable corresponderá al encargado.
CÓMPUTO EN LA NUBE
50
Para el tratamiento de datos personales en
Paso 7.
servicios, aplicaciones e infraestructura en el
Implementación de
denominado cómputo en la nube, en los que
Art. 52 - I
las Medidas de
el responsable se adhiera a los mismos
Seguridad
mediante condiciones o cláusulas generales
Aplicables a los
10.3.1
Implementación
de
Recomienda la implementación
un
de
del sistema de gestión con
Sistema
Gestión de Seguridad
base en ISO 27001.
de la Información.
141
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
de contratación, sólo podrá utilizar aquellos
Datos Personales.
servicios en los que el proveedor cumpla, al
Cumplimiento
menos, con lo siguiente:
Cotidiano de
Identificador y
nombre
Descripción
Objetivo de Control
Medidas de
a) Tener y aplicar políticas de protección de
Seguridad.
datos personales afines a los principios y
deberes aplicables que establece la Ley y su
Reglamento;
b) Transparentar las subcontrataciones que
involucren la información sobre la que se
8.5 Confidencialidad.
presta el servicio;
Establece
la
protección
registros
confidenciales
de
del
sistema de gestión.
c) Abstenerse de incluir condiciones en la
prestación del servicio que le autoricen o
permitan asumir la titularidad o propiedad de
la información sobre la que presta el servicio,
y
d) Guardar confidencialidad respecto de los
datos personales sobre los que se preste el
servicio.
51
Para el tratamiento de datos personales en
Paso 7.
servicios, aplicaciones e infraestructura en el
Implementación de
denominado cómputo en la nube, en los que
las Medidas de
el responsable se adhiera a los mismos
Art. 52 - II
Seguridad
mediante condiciones o cláusulas generales
Aplicables a los
de contratación, sólo podrá utilizar aquellos
Datos Personales.
10.3.1
Implementación
de
un
de
Sistema
Gestión de Seguridad
de la Información.
Recomienda la implementación
del sistema de gestión con
base en ISO 27001.
142
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
servicios en los que el proveedor cuente con
Cumplimiento
mecanismos, al menos, para:
Cotidiano de
Identificador y
nombre
Descripción
Objetivo de Control
Medidas de
a) Dar a conocer cambios en sus políticas de
Seguridad.
privacidad o condiciones del servicio que
presta;
b) Permitir al responsable limitar el tipo de
tratamiento de los datos personales sobre los
que se presta el servicio;
c)
Establecer
y
mantener
medidas
de
seguridad adecuadas para la protección de
los datos personales sobre los que se preste
el servicio;
d) Garantizar la supresión de los datos
personales una vez que haya concluido el
servicio prestado al responsable, y que este
último haya podido recuperarlos, y
e) Impedir el acceso a los datos personales a
personas que no cuenten con privilegios de
acceso, o bien en caso de que sea a solicitud
fundada
y
competente,
motivada
informar
de
de
autoridad
ese
hecho
al
responsable.
TRANSFERENCIAS
143
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Cuando el responsable pretenda transferir los
datos personales a terceros nacionales o
52
extranjeros, distintos del encargado, deberá
Paso 7.
comunicar a éstos el aviso de privacidad y las
Implementación de
finalidades a las que el titular sujetó su
las Medidas de
tratamiento.
Art. 68
Seguridad
El tratamiento de los datos se hará conforme
Art. 71
Aplicables a los
información entre el
Art. 72
Datos Personales.
ente certificador y sus
Art. 74
Cumplimiento
a lo convenido en el aviso de privacidad, el
cual contendrá una cláusula en la que se
indique
si
el
la
Cotidiano de
transferencia de sus datos, de igual manera,
Medidas de
el tercero receptor, asumirá las mismas
Seguridad.
obligaciones
titular
que
acepta
o
no
Art. 36
correspondan
8.6
Intercambio
de
clientes.
Consideraciones para proteger
la
información
intercambia
entre
que
el
se
ente
certificador y la organización
cliente.
al
responsable que transfirió los datos.
Paso 7.
Para
efectos
transferencia,
de
demostrar
sea
ésta
que
la
nacional
o
Implementación de
las Medidas de
Seguridad
internacional, se realiza conforme a lo que
53
establece la Ley y su Reglamento, la carga de
la prueba recaerá, en todos los casos, en el
responsable que transfiere y en el receptor
de los datos personales.
Art. 69
8.6
Intercambio
de
Aplicables a los
información entre el
Datos Personales.
ente certificador y sus
Cumplimiento
Cotidiano de
clientes.
Consideraciones para proteger
la
información
intercambia
entre
que
el
se
ente
certificador y la organización
cliente.
Medidas de
Seguridad.
144
N°
Requerimiento normativo
En
el caso de
transferencias
de
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
datos
personales entre sociedades controladoras,
subsidiarias o afiliadas bajo el control común
del mismo grupo del responsable, o a una
sociedad matriz o a cualquier sociedad del
mismo grupo del responsable, el mecanismo
10.3.1
para garantizar que el receptor de los datos
54
personales cumplirá con las disposiciones
Art. 70
previstas en la Ley, su Reglamento y demás
1. Recomendación
General
normativa aplicable, podrá ser la existencia
Implementación
de
Recomienda la implementación
un
de
del sistema de gestión con
Sistema
Gestión de Seguridad
base en ISO 27001.
de la Información.
de normas internas de protección de datos
personales cuya observancia sea vinculante,
siempre y cuando éstas cumplan con lo
establecido en la Ley, su
Reglamento y
demás normativa aplicable.
Paso 7.
Implementación de
La
transferencia
deberá
formalizarse
las Medidas de
mediante algún mecanismo que permita
55
Seguridad
8.6
Intercambio
de
demostrar que el responsable transferente
Art. 73
Aplicables a los
información entre el
comunicó
Art. 75
Datos Personales.
ente certificador y sus
al
responsable
receptor
las
condiciones en las que el titular consintió el
Cumplimiento
tratamiento de sus datos personales.
Cotidiano de
clientes.
Consideraciones para proteger
la
información
intercambia
entre
que
el
se
ente
certificador y la organización
cliente.
Medidas de
Seguridad.
145
4.5 ISO/IEC TR 27008:2011, Information technology -- Security techniques -- Guidelines for
auditors on information security controls.
Introducción. Este estándar es una guía para la revisión de la implementación y operación de controles, incluyendo la
revisión del cumplimiento técnico de controles de sistemas de información, en concordancia con los estándares de
seguridad de la información establecidos en la organización.
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
RESPONSABLE
Conceptos básicos de revisión
7
Métodos
Revisión.
de
de
controles
procedimientos,
incluyendo
reporte,
y
seguimiento.
7.2 Examinación.
Los responsables en el tratamiento de datos
personales, deberán observar los principios
1
de
licitud,
consentimiento,
información,
calidad, finalidad, lealtad, proporcionalidad y
Art. 6
Art. 9
1. Recomendación
General.
Proceso de inspección y análisis
de objetos sujetos de revisión.
Proceso de entrevistas para el
7.3 Entrevista.
entendimiento,
aclaración,
o
localización de evidencia.
Proceso
responsabilidad, previstos en la Ley.
7.4 Prueba.
de
prueba
de
los
objetos sujetos a revisión para
determinar
su
existencia
y
efectividad.
8 Actividades.
Actividades de preparación de
los controles para su revisión.
146
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Preparación
controles
8.1 Preparaciones.
de
para
políticas
su
y
revisión
incluyendo a los responsables
de
su
operación
y
mantenimiento.
8.2 Desarrollo de un
plan.
8.3
Actividades para desarrollar un
plan de revisión incluyendo el
enfoque y tipo de la misma.
Ejecutar
revisiones.
Aplicación
de
métodos
de
revisión para la inspección de
los objetos sujetos de revisión.
8.4 Análisis y reporte
Actividades y componentes del
de resultados.
reporte de la revisión.
NO APLICA
NO APLICA
LICITUD Y LEALTAD
Los datos personales deberán recabarse y
tratarse de manera lícita, privilegiando la
protección de los intereses del titular y la
expectativa
2
razonable
de
privacidad,
sin
importar la fuente de la que se obtienen los
datos.
Art. 7
Art. 7
Art. 10
Art. 44
Paso 1. Alcance y
Objetivos.
La obtención de datos personales no debe
hacerse a través de medios engañosos o
fraudulentos.
CONSENTIMIENTO
147
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
El tratamiento de datos personales estará
sujeto al consentimiento de su titular, salvo
las excepciones previstas por la Ley.
Los
3
datos
financieros
o
patrimoniales
requerirán consentimiento expreso de su
titular.
Art. 11
Art. 8
Art. 12
Art. 15
Paso 2. Política de
Gestión de Datos
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Personales.
Cuando los datos personales se obtengan
personalmente o de manera directa de su
titular, el consentimiento deberá ser previo al
tratamiento.
El responsable deberá facilitar al titular
4
medios sencillos y gratuitos para manifestar
Paso 2. Política de
Art. 8
Art. 16
su consentimiento expreso.
Gestión de Datos
Personales.
Tratándose de datos personales sensibles, el
responsable
deberá
obtener
el
consentimiento expreso y por escrito del
titular
para
su
tratamiento.
Paso 2. Política de
5
No podrán crearse bases de datos que
Art. 9
Art. 56
contengan datos personales sensibles, sin
Gestión de Datos
Personales.
que se justifique la creación de las mismas
para
finalidades
legítimas,
concretas
y
acordes con las actividades o fines explícitos
que persigue el sujeto regulado.
6
Para efectos de demostrar la obtención del
consentimiento,
la
carga
de
la
prueba
Art. 20
Paso 7.
Implementación de
148
N°
Requerimiento normativo
recaerá,
en
todos
los
casos,
en
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
el
Identificador y
nombre
Descripción
Objetivo de Control
las Medidas de
responsable.
Seguridad
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
INFORMACIÓN
A
través
del
aviso
de
privacidad,
el
responsable tendrá la obligación de informar
a los titulares, los datos que recaba, las
finalidades necesarias y las que no lo son
para
la
relación
jurídica,
así
como
las
características principales de su tratamiento.
7
Cuando se traten datos personales como
Art. 14
Paso 2. Política de
parte de un proceso de toma de decisiones
Art. 23
Gestión de Datos
Art. 112
Personales.
sin que intervenga la valoración de una
persona
física,
el
responsable
Art. 15
NO APLICA
NO APLICA
NO APLICA
NO APLICA
deberá
informar al titular que esta situación ocurre.
Si obtiene los datos de manera automática,
deberá informar al titular sobre el uso de
estas tecnologías y la forma en que podrá
deshabilitarlas.
Cuando los datos personales sean obtenidos
8
directamente
del
titular,
el
aviso
de
privacidad debe ponerse a disposición de los
Art. 3, I
Art. 17
Paso 7.
Art. 27
Implementación de
las Medidas de
149
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
titulares a través de formatos impresos,
Seguridad
digitales, visuales, sonoros o cualquier otra
Aplicables a los
tecnología.
Identificador y
nombre
Descripción
Objetivo de Control
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
Paso 7.
El aviso de privacidad
debe contener un
mecanismo,
el
para
que
titular
Implementación de
las Medidas de
pueda
manifestar su negativa al tratamiento de sus
9
datos
personales.
Cuando
los
datos
se
obtengan de manera indirecta del titular, el
Art. 14
Art. 18
Art. 29
Art. 32
responsable deberá darle a conocer el aviso
Seguridad
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Cumplimiento
Cotidiano de
de privacidad y sus cambios.
Medidas de
Seguridad
Paso 7.
Implementación de
las Medidas de
Para efectos de demostrar la puesta a
disposición
10
del
aviso
de
privacidad
cumplimiento del principio de información, la
carga de la prueba recaerá, en todos los
casos, en el responsable.
Seguridad
en
Art. 31
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
150
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
CALIDAD
El responsable procurará que los datos
personales contenidos en las bases de datos
11
sean
exactos,
completos,
pertinentes,
correctos y actualizados según se requiera
Paso 2. Política de
Art. 11
Art. 36
Gestión de Datos
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Personales.
para el cumplimiento de la finalidad para la
cual son tratados.
Cuando los datos de carácter personal hayan
dejado
de
ser
necesarios
para
el
cumplimiento de las finalidades previstas por
el aviso de privacidad y las disposiciones
legales aplicables, deberán ser cancelados,
previo bloqueo de los mismos.
12
Art. 3 III
El responsable de la base de datos estará
Art. 11
Paso 2. Política de
Art. 37
Personales.
obligado a eliminar la información relativa al
incumplimiento
de
Gestión de Datos
obligaciones
contractuales, una vez que transcurra un
plazo de setenta y dos meses, contado a
partir de la fecha calendario en que se
presente el mencionado incumplimiento.
El responsable establecerá y documentará
13
procedimientos para la conservación y, en su
caso, bloqueo y supresión de los datos
Paso 2. Política de
Art. 38
Personales.
personales.
Al responsable le corresponde demostrar que
14
los datos personales se conservan, o en su
caso, bloquean, suprimen o cancelan.
Gestión de Datos
Paso 7.
Art. 39
Implementación de
las Medidas de
151
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Seguridad
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
FINALIDAD
El tratamiento de datos personales deberá
limitarse al cumplimiento de las finalidades
previstas en el aviso de privacidad.
Si el responsable pretende tratar los datos
para un fin distinto al establecido, deberá
obtener nuevamente el consentimiento del
15
titular.
Art. 12
Art. 40
Paso 2. Política de
Art. 42
Gestión de Datos
Art. 43
Personales.
NO APLICA
NO APLICA
El titular podrá oponerse o revocar su
consentimiento para las finalidades distintas
a las que dieron origen a la relación jurídica,
sin que ello tenga como consecuencia la
conclusión del tratamiento.
PROPORCIONALIDAD
152
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
El tratamiento de datos personales será el
que resulte necesario, adecuado y relevante
en relación con las finalidades previstas en el
16
aviso de privacidad. En particular para datos
Art. 13
personales sensibles, el responsable deberá
Art. 45
Art. 46
Paso 2. Política de
Gestión de Datos
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Personales.
limitar el periodo de tratamiento al mínimo
indispensable.
CONFIDENCIALIDAD
El responsable o terceros que intervengan en
cualquier fase del tratamiento de datos
17
personales deberán guardar confidencialidad
respecto de éstos, obligación que subsistirá
Paso 2. Política de
Art. 21
Art. 9
Gestión de Datos
Personales.
aun después de finalizar sus relaciones con el
titular o, en su caso, con el responsable.
RESPONSABILIDAD
Conceptos básicos de revisión
El responsable tiene la obligación de velar y
7
responder por el tratamiento de los datos
Revisión.
Métodos
personales en su posesión, debiendo adoptar
Paso 2. Política de
El responsable deberá tomar las medidas
necesarias y suficientes para garantizar que el
aviso de privacidad dado a conocer al titular,
de
controles
procedimientos,
incluyendo
reporte,
Art. 14
Art. 47
7.2 Examinación.
Gestión de Datos
Proceso de inspección y análisis
de objetos sujetos de revisión.
Proceso de entrevistas para el
Personales.
7.3 Entrevista.
entendimiento,
aclaración,
sea respetado en todo momento por él o
localización de evidencia.
por terceros con los que guarde alguna
Proceso
relación jurídica.
y
seguimiento.
las medidas necesarias.
18
de
7.4 Prueba.
de
prueba
de
o
los
objetos sujetos a revisión para
determinar
su
existencia
y
153
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
efectividad.
Actividades de preparación de
8 Actividades.
los controles para su revisión.
Preparación
controles
8.1 Preparaciones.
de
para
políticas
su
y
revisión
incluyendo a los responsables
de
su
operación
y
mantenimiento.
8.2 Desarrollo de un
plan.
8.3
19
para
garantizar
el
debido
tratamiento,
privilegiando los intereses del titular y la
Ejecutar
Art. 14
Art. 48
organización.
de
métodos
de
revisión para la inspección de
los objetos sujetos de revisión.
8.4 Análisis y reporte
Actividades y componentes del
de resultados.
reporte de la revisión.
Análisis de Riesgo
de los Datos
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Personales.
Elaborar políticas y programas de privacidad
obligatorios y exigibles al interior de la
Aplicación
Paso 5. Realizar el
expectativa razonable de privacidad.
20
plan de revisión incluyendo el
enfoque y tipo de la misma.
revisiones.
Los responsables deberán adoptar medidas
Actividades para desarrollar un
Paso 2. Política de
Art. 48 - I
Gestión de Datos
Personales.
154
N°
Requerimiento normativo
Poner
21
en
práctica
un
programa
personal
sobre
las
obligaciones
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
de
capacitación, actualización, y concientización
del
Referencia
en
Identificador y
nombre
Descripción
Objetivo de Control
Paso 9. Mejora
Art. 48 - II
materia de protección de datos personales.
Continua y
Capacitación.
NO APLICA
NO APLICA
Capacitación.
Conceptos básicos de revisión
7
Métodos
Revisión.
de
de
controles
procedimientos,
incluyendo
reporte,
y
seguimiento.
7.2 Examinación.
Proceso de inspección y análisis
de objetos sujetos de revisión.
Proceso de entrevistas para el
Establecer
22
un
sistema
de
supervisión
y
vigilancia interna, verificaciones o auditorías
externas para comprobar el cumplimiento de
las políticas de privacidad.
7.3 Entrevista.
Art. 48 - III
entendimiento,
aclaración,
o
localización de evidencia.
Paso 8. Revisiones y
Auditoría.
Proceso
7.4 Prueba.
de
prueba
de
los
objetos sujetos a revisión para
determinar
su
existencia
y
efectividad.
8 Actividades.
Actividades de preparación de
los controles para su revisión.
Preparación
8.1 Preparaciones.
controles
de
para
políticas
su
y
revisión
incluyendo a los responsables
de
su
operación
y
155
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
mantenimiento.
8.2 Desarrollo de un
plan.
8.3
Actividades para desarrollar un
plan de revisión incluyendo el
enfoque y tipo de la misma.
Ejecutar
revisiones.
Aplicación
de
métodos
de
revisión para la inspección de
los objetos sujetos de revisión.
8.4 Análisis y reporte
Actividades y componentes del
de resultados.
reporte de la revisión.
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Paso 3. Establecer
23
Destinar recursos para la instrumentación de
los programas y políticas de privacidad.
Funciones y
Art. 48 - IV
Obligaciones de
Quienes Traten
Datos Personales.
Instrumentar un procedimiento para que se
Paso 5. Realizar el
atienda el riesgo para la protección de datos
24
personales por la implementación de nuevos
productos, servicios, tecnologías y modelos
de negocios, así como para mitigarlos.
Art. 48 - V
Análisis de Riesgo
de los Datos
Personales.
156
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Conceptos básicos de revisión
7
Métodos
de
Revisión.
de
controles
procedimientos,
incluyendo
reporte,
y
seguimiento.
7.2 Examinación.
Proceso de inspección y análisis
de objetos sujetos de revisión.
Proceso de entrevistas para el
7.3 Entrevista.
entendimiento,
aclaración,
o
localización de evidencia.
Proceso
Revisar
25
periódicamente
las
políticas
y
programas de seguridad para determinar las
modificaciones que se requieran.
Art. 48 - VI
Paso 8. Revisiones y
7.4 Prueba.
Auditoría.
de
prueba
de
los
objetos sujetos a revisión para
determinar
su
existencia
y
efectividad.
8 Actividades.
Actividades de preparación de
los controles para su revisión.
Preparación
controles
8.1 Preparaciones.
de
para
políticas
su
y
revisión
incluyendo a los responsables
de
su
operación
y
mantenimiento.
8.2 Desarrollo de un
plan.
Actividades para desarrollar un
plan de revisión incluyendo el
enfoque y tipo de la misma.
157
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
8.3
Ejecutar
revisiones.
Aplicación
de
métodos
de
revisión para la inspección de
los objetos sujetos de revisión.
8.4 Análisis y reporte
Actividades y componentes del
de resultados.
reporte de la revisión.
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Paso 7.
Implementación de
las Medidas de
Establecer
26
procedimientos
para
recibir
Seguridad
y
responder dudas y quejas de los titulares de
Art. 48 - VII
los datos personales.
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
Disponer
27
de
mecanismos
para
el
cumplimiento de las políticas y programas de
privacidad, así como de sanciones por su
Paso 3. Funciones y
Art. 48 - VIII
incumplimiento.
Paso 6.
los datos personales, es decir, un conjunto
de acciones técnicas y administrativas que
permitan garantizar al responsable el
cumplimiento de los principios y obligaciones
que establece la Ley y su Reglamento.
Quienes Traten
Datos Personales.
Establecer medidas para el aseguramiento de
28
Obligaciones de
Identificación de las
Art. 48 - IX
medidas de
seguridad y Análisis
de Brecha.
158
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Establecer medidas para la trazabilidad de los
y procedimientos técnicos que
nombre
Descripción
Objetivo de Control
Paso 6.
datos personales, es decir acciones, medidas
29
Identificador y
Identificación de las
permiten
Art. 48 - X
rastrear a los datos personales durante su
medidas de
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
seguridad y Análisis
tratamiento.
de Brecha.
Paso 7.
Implementación de
Todo responsable deberá designar a una
persona,
o
personales,
30
departamento
quien
dará
de
las Medidas de
datos
trámite
a
Seguridad
las
solicitudes de los titulares, para el ejercicio
Aplicables a los
Art. 30
Datos Personales.
de los derechos a que se refiere la Ley.
Cumplimiento
Asimismo fomentará la protección de datos
Cotidiano de
personales al interior de la organización.
Medidas de
Seguridad.
SEGURIDAD
Todo
responsable
tratamiento
de
que
datos
lleve
a
personales
cabo
deberá
establecer y mantener medidas de seguridad
administrativas,
permitan
31
técnicas
proteger
los
y
físicas
datos
que
contra daño, pérdida, alteración, destrucción
o el uso, acceso o tratamiento no autorizado.
No
adoptarán
medidas
de
Paso 6.
personales
seguridad
Art. 4
Art. 19
Identificación de las
Art. 9
medidas de
Art. 57
seguridad y Análisis
de Brecha.
menores a aquellas que mantengan para el
manejo de su información.
159
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Cuando el encargado se encuentre ubicado
en territorio mexicano, le serán aplicables las
disposiciones relativas a las medidas de
seguridad contenidas en el Capítulo III de
Reglamento.
El responsable determinará las medidas de
Preparación
seguridad aplicables a los datos personales
controles
que trate, considerando el riesgo existente,
8.1 Preparaciones.
de
para
políticas
su
y
revisión
incluyendo a los responsables
las posibles consecuencias para los titulares,
de
la sensibilidad de los datos y el desarrollo
mantenimiento.
su
operación
y
tecnológico.
De
32
manera
adicional,
el
procurará tomar en cuenta los siguientes
elementos:
II. Las vulnerabilidades previas ocurridas en
los sistemas de tratamiento;
El
riesgo
por
Art. 19
Art. 60
Análisis de Riesgo
de los Datos
Personales.
I. El número de titulares;
III.
Paso 5. Realizar el
responsable
el
valor
8.2.5
previos.
Hallazgos
Consideraciones
hallazgos
del
previos
uso
de
para
la
revisión de controles.
potencial
cuantitativo o cualitativo que pudieran tener
los datos personales tratados para una
tercera
persona
no
autorizada
para
su
160
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Art. 61 - I
Inventario de Datos
Identificador y
nombre
Descripción
Objetivo de Control
posesión, y
IV. Demás factores que puedan incidir en el
nivel de riesgo o que resulten de otras leyes
o regulación aplicable al responsable.
33
Elaborar un inventario de datos personales y
de los sistemas de tratamiento.
Paso 4. Elaborar un
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Personales.
Paso 3. Establecer
34
Determinar las funciones y obligaciones de
las personas que traten datos personales.
Funciones y
Art. 61 - II
Obligaciones de
Quienes Traten
Datos Personales.
Contar con un análisis de riesgos de datos
35
personales
que
consiste
en
identificar
peligros y estimar los riesgos a los datos
Paso 5. Realizar el
Art. 61 - III
personales.
Análisis de Riesgo
de los Datos
Personales.
Conceptos básicos de revisión
7
Métodos
Revisión.
36
las
medidas
de
seguridad
aplicables a los datos personales e identificar
aquéllas implementadas de manera efectiva.
Identificación de las
Art. 61 - IV
medidas de
de
controles
procedimientos,
incluyendo
reporte,
y
seguimiento.
Paso 6.
Establecer
de
7.2 Examinación.
seguridad y Análisis
Proceso de inspección y análisis
de objetos sujetos de revisión.
de Brecha.
Proceso de entrevistas para el
7.3 Entrevista.
entendimiento,
aclaración,
o
localización de evidencia.
161
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Proceso
de
prueba
de
los
objetos sujetos a revisión para
7.4 Prueba.
determinar
su
existencia
y
efectividad.
Actividades de preparación de
8 Actividades.
los controles para su revisión.
Preparación
controles
8.1 Preparaciones.
de
para
políticas
su
y
revisión
incluyendo a los responsables
de
su
operación
y
mantenimiento.
8.2 Desarrollo de un
plan.
Ejecutar
revisiones.
37
Paso 6.
la diferencia de las medidas de seguridad
Identificación de las
existentes y aquéllas faltantes que resultan
necesarias para la protección de los datos
Art. 61 - V
medidas de
seguridad y Análisis
plan de revisión incluyendo el
enfoque y tipo de la misma.
8.3
Realizar el análisis de brecha que consiste en
Actividades para desarrollar un
Aplicación
de
métodos
de
revisión para la inspección de
los objetos sujetos de revisión.
8.4 Análisis y reporte
Actividades y componentes del
de resultados.
reporte de la revisión.
Conceptos básicos de revisión
7
Métodos
Revisión.
de
de
controles
procedimientos,
incluyendo
reporte,
y
seguimiento.
162
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
personales.
Identificador y
nombre
Descripción
Objetivo de Control
de Brecha.
7.2 Examinación.
Proceso de inspección y análisis
de objetos sujetos de revisión.
Proceso de entrevistas para el
7.3 Entrevista.
entendimiento,
aclaración,
o
localización de evidencia.
Proceso
de
prueba
de
los
objetos sujetos a revisión para
7.4 Prueba.
determinar
su
existencia
y
efectividad.
Actividades de preparación de
8 Actividades.
los controles para su revisión.
Preparación
controles
8.1 Preparaciones.
de
para
políticas
su
y
revisión
incluyendo a los responsables
de
su
operación
y
mantenimiento.
8.2 Desarrollo de un
plan.
8.3
Elaborar
un
plan
de
trabajo
para
la
implementación de las medidas de seguridad
Art. 61 - VI
Paso 7.
Implementación de
plan de revisión incluyendo el
enfoque y tipo de la misma.
Ejecutar
revisiones.
38
Actividades para desarrollar un
Aplicación
de
métodos
de
revisión para la inspección de
los objetos sujetos de revisión.
8.4 Análisis y reporte
Actividades y componentes del
de resultados.
reporte de la revisión.
8.4 Análisis y reporte
Actividades y componentes del
de resultados.
reporte de la revisión.
163
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
faltantes, derivadas del análisis de brecha.
Identificador y
nombre
Descripción
Objetivo de Control
las Medidas de
Seguridad
Aplicables a los
Datos Personales.
Plan de Trabajo
para la
Implementación de
las Medidas de
Seguridad Faltantes.
Conceptos básicos de revisión
7
Métodos
Revisión.
de
de
controles
procedimientos,
incluyendo
reporte,
y
seguimiento.
7.2 Examinación.
Proceso de inspección y análisis
de objetos sujetos de revisión.
Proceso de entrevistas para el
7.3 Entrevista.
39
Llevar a cabo revisiones o auditorías.
Art. 61 - VII
entendimiento,
aclaración,
o
localización de evidencia.
Paso 8. Revisiones y
Proceso
Auditoría.
7.4 Prueba.
de
prueba
de
los
objetos sujetos a revisión para
determinar
su
existencia
y
efectividad.
8 Actividades.
Actividades de preparación de
los controles para su revisión.
Preparación
8.1 Preparaciones.
controles
de
para
políticas
su
y
revisión
incluyendo a los responsables
de
su
operación
y
164
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
mantenimiento.
8.2 Desarrollo de un
plan.
8.3
Actividades para desarrollar un
plan de revisión incluyendo el
enfoque y tipo de la misma.
Ejecutar
revisiones.
Aplicación
de
métodos
de
revisión para la inspección de
los objetos sujetos de revisión.
8.4 Análisis y reporte
Actividades y componentes del
de resultados.
reporte de la revisión.
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Paso 9. Mejora
40
Capacitar
al
personal
que
efectúe
el
tratamiento de datos personales.
Art. 61 - VIII
Continua y
Capacitación.
Capacitación.
Paso 5. Realizar el
41
Realizar un
registro de
los medios de
almacenamiento de los datos personales.
Análisis de Riesgo
Art. 61 - IX
de los Datos
Personales.
Preparación
controles
3. Acciones a
42
Contar con una relación de las medidas de
seguridad.
8.1 Preparaciones
de
documentadas.
su
y
revisión
su
operación
y
mantenimiento
seguridad de los
datos personales
para
políticas
incluyendo a los responsables
implementar para la
Art. 61
de
Especificación,
documentación,
8.2.4 Consideraciones
y configuración de activos de
relacionadas
información y la selección de
objetos
a
los
los
métodos
de
revisión
apropiados
165
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
8.2.7
Sistemas
externos
Revisión
de
información
sistemas
externos
de
a
la
organización
8.2.8 Organización y
Adaptación de los procesos de
activos
revisión
de
información
para
sistemas
y
plataformas específicas
Conceptos básicos de revisión
7
Métodos
Revisión.
Actualizar las medidas de seguridad cuando:
de
de
controles
procedimientos,
incluyendo
reporte,
y
seguimiento.
I. Se modifiquen las medidas o procesos de
seguridad para su mejora continua, derivado
7.2 Examinación.
de las revisiones a la política de seguridad
del responsable.
7.3 Entrevista.
en el tratamiento que deriven en un cambio
del nivel de riesgo.
III. Se vulneren los sistemas de tratamiento,
de conformidad con lo dispuesto en el
Art. 62
Exista
una
afectación
a
los
Paso 8. Revisiones y
Proceso
Auditoría.
7.4 Prueba.
En el caso de datos personales sensibles, los
o
de
prueba
de
los
objetos sujetos a revisión para
determinar
8 Actividades.
su
existencia
y
Actividades de preparación de
los controles para su revisión.
responsables procurarán revisar y, en su caso,
Preparación
actualizar las relaciones correspondientes una
controles
vez al año.
aclaración,
efectividad.
datos
personales distinta a las anteriores.
entendimiento,
localización de evidencia.
artículo 20 de la Ley y 63 de su Reglamento.
IV.
de objetos sujetos de revisión.
Proceso de entrevistas para el
II. Se produzcan modificaciones sustanciales
43
Proceso de inspección y análisis
8.1 Preparaciones.
de
para
políticas
su
y
revisión
incluyendo a los responsables
de
su
operación
y
mantenimiento.
166
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
8.2 Desarrollo de un
plan.
8.3
Actividades para desarrollar un
plan de revisión incluyendo el
enfoque y tipo de la misma.
Ejecutar
revisiones.
Aplicación
de
métodos
de
revisión para la inspección de
los objetos sujetos de revisión.
8.4 Análisis y reporte
Actividades y componentes del
de resultados.
reporte de la revisión.
NO APLICA
NO APLICA
NO APLICA
NO APLICA
VULNERACIONES A LA SEGURIDAD
Las vulneraciones de seguridad ocurridas en
cualquier fase del tratamiento que afecten de
Paso 8. Revisiones y
forma significativa los derechos patrimoniales
44
o morales de los titulares, serán informadas
de forma inmediata por el responsable al
Art. 20
Art. 63
Art. 64
titular, a fin de que este último pueda tomar
Auditoría.
Vulneraciones a la
Seguridad de la
Información.
las medidas correspondientes a la defensa de
sus derechos.
En caso de que ocurra una vulneración a la
seguridad
de
los
datos
personales,
el
responsable deberá informar al titular al
menos lo siguiente:
Paso 8. Revisiones y
Auditoría.
45
I. La naturaleza del incidente.
II. Los datos personales comprometidos.
III. Las recomendaciones al titular acerca de
Art. 65
Vulneraciones a la
Seguridad de la
Información.
las medidas que éste pueda adoptar para
proteger sus intereses.
IV. Las acciones correctivas realizadas de
167
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
forma inmediata.
V. Los medios donde puede obtener más
información al respecto.
En caso de que ocurra una vulneración a los
datos
personales,
el responsable
deberá
Paso 8. Revisiones y
analizar las causas por las cuales se presentó
46
e
implementar
las
acciones
correctivas,
Auditoría.
Art. 66
Vulneraciones a la
preventivas y de mejora para adecuar las
Seguridad de la
medidas de seguridad correspondientes, a
Información.
8.4 Análisis y reporte
Actividades y componentes del
de resultados.
reporte de la revisión.
NO APLICA
NO APLICA
efecto de evitar que la vulneración se repita.
ENCARGADO
El
encargado
tendrá
las
siguientes
obligaciones respecto del tratamiento que
realice por cuenta del responsable:
47
I. Tratar únicamente los datos personales
conforme a las instrucciones del responsable.
Art. 50
1. Recomendación
General.
II. Abstenerse de tratar los datos personales
para finalidades distintas a las instruidas por
el responsable.
III. Implementar las medidas de seguridad
168
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
conforme a la Ley, su Reglamento y las
demás disposiciones aplicables.
IV. Guardar confidencialidad respecto de los
datos personales tratados.
V. Suprimir los datos personales objeto de
tratamiento una vez cumplida la relación
jurídica
con
el
responsable
o
por
instrucciones del responsable, siempre y
cuando no exista una previsión legal que
exija la conservación de los datos personales.
VI.
Abstenerse
de
transferir
los
datos
personales salvo en el caso de que el
responsable
así
lo
determine,
la
comunicación derive de una subcontratación,
o
cuando
así
lo
requiera
la
autoridad
competente.
SUBCONTRATACIONES
Paso 7.
Implementación de
La
48
relación
entre
el
responsable
y
el
las Medidas de
encargado deberá estar establecida mediante
Seguridad
cláusulas contractuales u otro instrumento
Aplicables a los
jurídico que decida el responsable, que
Art. 51
Datos Personales.
permita acreditar su existencia, alcance y
Cumplimiento
contenido.
Cotidiano de
NO APLICA
NO APLICA
Medidas de
Seguridad.
169
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Toda subcontratación de servicios por parte
del encargado que implique el tratamiento
de datos personales deberá ser autorizada
por el responsable, y se realizará en nombre
y por cuenta de este último.
Una
vez
obtenida
la
autorización,
Paso 7.
el
Implementación de
encargado deberá formalizar la relación con
el
subcontratado
a
través
de
contractuales u otro instrumento jurídico que
49
las Medidas de
cláusulas
permita acreditar su existencia, alcance y
contenido.
Seguridad
Art. 54
Aplicables a los
Art. 55
Datos Personales.
NO APLICA
NO APLICA
Cotidiano de
sido prevista en cláusulas contractuales, el
Medidas de
encargado deberá obtener la autorización
del
NO APLICA
Cumplimiento
En caso de que la subcontratación no haya
correspondiente
NO APLICA
Seguridad.
responsable
previamente.
La
obligación
de
acreditar
que
la
subcontratación se realizó con autorización
del responsable corresponderá al encargado.
CÓMPUTO EN LA NUBE
50
Para el tratamiento de datos personales en
Paso 7.
servicios, aplicaciones e infraestructura en el
Implementación de
denominado cómputo en la nube, en los que
las Medidas de
el responsable se adhiera a los mismos
mediante condiciones o cláusulas generales
Art. 52 - I
Seguridad
Aplicables a los
de contratación, sólo podrá utilizar aquellos
Datos Personales.
servicios en los que el proveedor cumpla, al
Cumplimiento
menos, con lo siguiente:
Cotidiano de
170
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Medidas de
a) Tener y aplicar políticas de protección de
Seguridad.
datos personales afines a los principios y
deberes aplicables que establece la Ley y su
Reglamento;
b) Transparentar las subcontrataciones que
involucren la información sobre la que se
presta el servicio;
c) Abstenerse de incluir condiciones en la
prestación del servicio que le autoricen o
permitan asumir la titularidad o propiedad de
la información sobre la que presta el servicio,
y
d) Guardar confidencialidad respecto de los
datos personales sobre los que se preste el
servicio.
51
Para el tratamiento de datos personales en
Paso 7.
servicios, aplicaciones e infraestructura en el
Implementación de
denominado cómputo en la nube, en los que
las Medidas de
el responsable se adhiera a los mismos
Seguridad
mediante condiciones o cláusulas generales
Art. 52 - II
Aplicables a los
de contratación, sólo podrá utilizar aquellos
Datos Personales.
servicios en los que el proveedor cuente con
Cumplimiento
mecanismos, al menos, para:
Cotidiano de
NO APLICA
NO APLICA
Medidas de
171
N°
Requerimiento normativo
a) Dar a conocer cambios en sus políticas de
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Seguridad.
privacidad o condiciones del servicio que
presta;
b) Permitir al responsable limitar el tipo de
tratamiento de los datos personales sobre los
que se presta el servicio;
c)
Establecer
y
mantener
medidas
de
seguridad adecuadas para la protección de
los datos personales sobre los que se preste
el servicio;
d) Garantizar la supresión de los datos
personales una vez que haya concluido el
servicio prestado al responsable, y que este
último haya podido recuperarlos, y
e) Impedir el acceso a los datos personales a
personas que no cuenten con privilegios de
acceso, o bien en caso de que sea a solicitud
fundada
y
competente,
motivada
informar
de
de
autoridad
ese
hecho
al
responsable.
TRANSFERENCIAS
172
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Cuando el responsable pretenda transferir los
datos personales a terceros nacionales o
52
extranjeros, distintos del encargado, deberá
Paso 7.
comunicar a éstos el aviso de privacidad y las
Implementación de
finalidades a las que el titular sujetó su
las Medidas de
tratamiento.
Art. 68
Seguridad
El tratamiento de los datos se hará conforme
Art. 71
Aplicables a los
Art. 72
Datos Personales.
Art. 74
Cumplimiento
a lo convenido en el aviso de privacidad, el
cual contendrá una cláusula en la que se
indique
si
el
la
Cotidiano de
transferencia de sus datos, de igual manera,
Medidas de
el tercero receptor, asumirá las mismas
Seguridad.
obligaciones
titular
que
acepta
o
no
Art. 36
correspondan
NO APLICA
NO APLICA
NO APLICA
NO APLICA
al
responsable que transfirió los datos.
Paso 7.
Para
efectos
transferencia,
de
demostrar
sea
ésta
que
la
nacional
o
Implementación de
las Medidas de
Seguridad
internacional, se realiza conforme a lo que
53
establece la Ley y su Reglamento, la carga de
la prueba recaerá, en todos los casos, en el
responsable que transfiere y en el receptor
de los datos personales.
Art. 69
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
173
N°
Requerimiento normativo
En
el caso de
transferencias
de
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
datos
personales entre sociedades controladoras,
subsidiarias o afiliadas bajo el control común
del mismo grupo del responsable, o a una
sociedad matriz o a cualquier sociedad del
mismo grupo del responsable, el mecanismo
para garantizar que el receptor de los datos
54
personales cumplirá con las disposiciones
Art. 70
previstas en la Ley, su Reglamento y demás
1. Recomendación
General
NO APLICA
NO APLICA
NO APLICA
NO APLICA
normativa aplicable, podrá ser la existencia
de normas internas de protección de datos
personales cuya observancia sea vinculante,
siempre y cuando éstas cumplan con lo
establecido en la Ley, su
Reglamento y
demás normativa aplicable.
Paso 7.
Implementación de
La
transferencia
deberá
formalizarse
las Medidas de
mediante algún mecanismo que permita
55
Seguridad
demostrar que el responsable transferente
Art. 73
Aplicables a los
comunicó
Art. 75
Datos Personales.
al
responsable
receptor
las
condiciones en las que el titular consintió el
Cumplimiento
tratamiento de sus datos personales.
Cotidiano de
Medidas de
Seguridad.
174
4.6 ISO/IEC 29100:2011, Information Technology - Security techniques -- Privacy framework.
Introducción. Este estándar internacional provee una estructura general para la protección de información de
identificación personal (PII: Personally Identifiable Information). Con el
estándar ISO 29100 se pretende ayudar a las
organizaciones a definir los mecanismos de protección relacionados a la privacidad de datos.
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
RESPONSABLE
Describe
Los responsables en el tratamiento de datos
personales, deberán observar los principios
1
de
licitud,
consentimiento,
información,
Art. 6
Art. 9
calidad, finalidad, lealtad, proporcionalidad y
componentes
básicos
del marco de trabajo
privacidad de datos personales
de Privacidad.
para
relacionados
el
a
la
establecimiento
del
marco de privacidad.
1. Recomendación
Describe a detalle los principios
General.
5 Los principios de
responsabilidad, previstos en la Ley.
los
4 Elementos básicos
Privacidad de ISO/IEC
29100.
que deben ser utilizados para el
desarrollo
de
políticas
y
procedimientos utilizados para
la
protección
de
datos
personales.
LICITUD Y LEALTAD
Los datos personales deberán recabarse y
Describe
tratarse de manera lícita, privilegiando la
2
protección de los intereses del titular y la
expectativa
razonable
de
privacidad,
sin
importar la fuente de la que se obtienen los
Art. 7
Art. 7
Art. 10
Art. 44
Paso 1. Alcance y
Objetivos.
5.2
Opción
consentimiento.
y
cómo
deben
ser
presentados los principios de
opción
y
consentimiento
al
dueño de los datos personales
que serán obtenidos.
175
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
datos.
Referente a la especificación del
La obtención de datos personales no debe
5.3 Propósito legítimo
propósito y la legitimidad del
y especificación.
mismo ante la recopilación de
hacerse a través de medios engañosos o
datos personales.
fraudulentos.
5.4
Límite
en
la
recolección.
Indica las limitantes para la
recopilación
de
datos
personales.
Define
cómo
deben
los
ser
5.5 Minimización de
divulgados
datos
datos.
personales bajo el principio de
la necesidad de saber.
CONSENTIMIENTO
El tratamiento de datos personales estará
sujeto al consentimiento de su titular, salvo
las excepciones previstas por la Ley.
Los
3
datos
financieros
o
patrimoniales
requerirán consentimiento expreso de su
titular.
Art. 11
Art. 8
Art. 12
Art. 15
Describe
Paso 2. Política de
Gestión de Datos
Personales.
5.2
Opción
y
consentimiento.
cómo
deben
ser
presentados los principios de
opción
y
consentimiento
al
dueño de los datos personales
que serán obtenidos.
Cuando los datos personales se obtengan
personalmente o de manera directa de su
titular, el consentimiento deberá ser previo al
tratamiento.
El responsable deberá facilitar al titular
4
medios sencillos y gratuitos para manifestar
su consentimiento expreso.
Paso 2. Política de
Art. 8
Art. 16
Gestión de Datos
Personales.
Describe
5.2
Opción
consentimiento.
y
cómo
deben
ser
presentados los principios de
opción
y
consentimiento
al
dueño de los datos personales
176
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
que serán obtenidos.
Hace referencia a los derechos
5.9
Acceso
y
del
titular
sobre
sus
datos
participación
personales después de haber
individual.
sido
recopilados
por
el
responsable.
Tratándose de datos personales sensibles, el
4.4.7
responsable
Personal Identificable
información personal sensible
Sensible.
de acuerdo al estándar.
deberá
obtener
el
consentimiento expreso y por escrito del
titular
para
su
Información
No podrán crearse bases de datos que
Art. 9
Art. 56
contengan datos personales sensibles, sin
finalidades
legítimas,
concretas
Describe
Gestión de Datos
Personales.
que se justifique la creación de las mismas
para
de
la
tratamiento.
Paso 2. Política de
5
Características
5.2
Opción
y
consentimiento.
cómo
deben
ser
presentados los principios de
opción
y
consentimiento
al
dueño de los datos personales
y
que serán obtenidos.
acordes con las actividades o fines explícitos
que persigue el sujeto regulado.
Paso 7.
Implementación de
las Medidas de
Para efectos de demostrar la obtención del
6
consentimiento,
recaerá,
en
responsable.
la
todos
carga
los
de
la
casos,
prueba
en
el
Describe
Seguridad
Art. 20
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
5.2
Opción
consentimiento.
y
cómo
deben
ser
presentados los principios de
opción
y
consentimiento
al
dueño de los datos personales
que serán obtenidos.
Medidas de
Seguridad.
177
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
INFORMACIÓN
A
través
del
aviso
de
privacidad,
el
Referente a la especificación del
responsable tendrá la obligación de informar
5.3 Propósito legítimo
propósito y la legitimidad del
a los titulares, los datos que recaba, las
y especificación.
mismo ante la recopilación de
finalidades necesarias y las que no lo son
para
la
relación
jurídica,
así
como
datos personales.
las
características principales de su tratamiento.
Cuando se traten datos personales como
7
parte de un proceso de toma de decisiones
sin que intervenga la valoración de una
persona
física,
el
responsable
Art. 15
Art. 14
Paso 2. Política de
Art. 23
Gestión de Datos
Art. 112
Personales.
deberá
Principio que se refiere a la
5.8
informar al titular que esta situación ocurre.
Apertura,
transparencia y aviso.
transparencia hacia el titular
sobre
el
tratamiento
y
propósito de la recolección de
sus datos personales.
Si obtiene los datos de manera automática,
deberá informar al titular sobre el uso de
estas tecnologías y la forma en que podrá
deshabilitarlas.
Paso 7.
Implementación de
Cuando los datos personales sean obtenidos
directamente
8
del
titular,
el
aviso
las Medidas de
de
privacidad debe ponerse a disposición de los
Art. 3, I
titulares a través de formatos impresos,
Art. 17
digitales, visuales, sonoros o cualquier otra
tecnología.
Referente a la especificación del
5.3 Propósito legítimo
propósito y la legitimidad del
y especificación.
mismo ante la recopilación de
datos personales.
Seguridad
Art. 27
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
Principio que se refiere a la
5.8
Apertura,
transparencia y aviso.
transparencia hacia el titular
sobre
el
tratamiento
y
propósito de la recolección de
sus datos personales.
178
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Seguridad.
Paso 7.
El aviso de privacidad
debe contener un
mecanismo,
el
para
que
titular
Implementación de
las Medidas de
pueda
manifestar su negativa al tratamiento de sus
9
datos
personales.
Cuando
los
datos
se
Art. 14
Art. 18
obtengan de manera indirecta del titular, el
Art. 29
Art. 32
responsable deberá darle a conocer el aviso
de privacidad y sus cambios.
Referente a la especificación del
5.3 Propósito legítimo
propósito y la legitimidad del
y especificación.
mismo ante la recopilación de
Seguridad
datos personales.
Aplicables a los
Principio que se refiere a la
Datos Personales.
Cumplimiento
5.8
Cotidiano de
transparencia y aviso.
Apertura,
Medidas de
transparencia hacia el titular
sobre
el
tratamiento
y
propósito de la recolección de
sus datos personales.
Seguridad
Paso 7.
Implementación de
las Medidas de
Para efectos de demostrar la puesta a
disposición
10
del
aviso
de
privacidad
Principio que se refiere a la
Seguridad
en
cumplimiento del principio de información, la
Art. 31
carga de la prueba recaerá, en todos los
Aplicables a los
Datos Personales.
5.8
Apertura,
transparencia y aviso.
Cumplimiento
casos, en el responsable.
transparencia hacia el titular
sobre
el
tratamiento
y
propósito de la recolección de
sus datos personales.
Cotidiano de
Medidas de
Seguridad.
CALIDAD
El responsable procurará que los datos
11
personales contenidos en las bases de datos
sean
exactos,
completos,
pertinentes,
correctos y actualizados según se requiera
Paso 2. Política de
Art. 11
Art. 36
Gestión de Datos
Personales.
Este principio establece que los
5.7
calidad.
Precisión
y
datos recopilados deben ser
exactos,
completos
y
actualizados
de
al
acuerdo
179
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
para el cumplimiento de la finalidad para la
propósito para el que sean
cual son tratados.
recopilados.
Cuando los datos de carácter personal hayan
dejado
de
ser
necesarios
para
el
cumplimiento de las finalidades previstas por
el aviso de privacidad y las disposiciones
legales aplicables, deberán ser cancelados,
Trata sobre la retención, uso,
previo bloqueo de los mismos.
12
Art. 3 III
El responsable de la base de datos estará
Art. 11
Art. 37
de
5.6 Límites en el uso,
divulgación,
Gestión de Datos
retención,
eliminación
Personales.
obligado a eliminar la información relativa al
incumplimiento
Paso 2. Política de
y
eliminación.
transferencia
de
acuerdo
y
al
propósito para el que fueron
recopilados.
obligaciones
contractuales, una vez que transcurra un
plazo de setenta y dos meses, contado a
partir de la fecha calendario en que se
presente el mencionado incumplimiento.
Establece que se deben de
4.5.1 Factores legales
y regulatorios.
El responsable establecerá y documentará
13
procedimientos para la conservación y, en su
caso, bloqueo y supresión de los datos
personales.
Art. 38
tomar
en
cuenta
leyes
y
regulaciones legales de acuerdo
a
la
localidad
donde
Paso 2. Política de
encuentre la compañía.
Gestión de Datos
Indica
se
que los requerimientos
para el resguardo de datos
Personales.
4.5.2
contractuales.
Factores
personales
afectados
pueden
por
las
ser
relaciones
contractuales.
180
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Las
4.5.3
Factores
de
negocio.
medidas
sobre
los
pueden
de
seguridad
datos
personales
variar
por
factores
propios del negocio.
Provee algunos otros factores
que
4.5.4 Otros factores.
pueden
definición
seguridad
afectar
la
medidas
de
relacionadas
a
de
privacidad de datos.
Trata sobre la retención, uso,
5.6 Límites en el uso,
divulgación,
retención,
eliminación
y
eliminación.
transferencia
de
acuerdo
y
al
propósito para el que fueron
recopilados.
Paso 7.
Implementación de
las Medidas de
Seguridad
Al responsable le corresponde demostrar que
14
los datos personales se conservan, o en su
caso, bloquean, suprimen o cancelan.
Aplicables a los
Art. 39
Datos Personales.
Cumplimiento
Cotidiano de
Trata sobre la retención, uso,
5.6 Límites en el uso,
divulgación,
retención,
eliminación
eliminación.
y
transferencia
de
acuerdo
y
al
propósito para el que fueron
recopilados.
Medidas de
Seguridad.
FINALIDAD
181
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
El tratamiento de datos personales deberá
Referente a la especificación del
limitarse al cumplimiento de las finalidades
5.3 Propósito legítimo
propósito y la legitimidad del
previstas en el aviso de privacidad.
y especificación.
mismo ante la recopilación de
Si el responsable pretende tratar los datos
datos personales.
para un fin distinto al establecido, deberá
obtener nuevamente el consentimiento del
15
titular.
Art. 12
Art. 40
Paso 2. Política de
Art. 42
Gestión de Datos
Art. 43
Personales.
Trata sobre la retención, uso,
5.6 Límites en el uso,
divulgación,
El titular podrá oponerse o revocar su
retención,
eliminación
consentimiento para las finalidades distintas
eliminación.
y
transferencia
de
acuerdo
y
al
propósito para el que fueron
a las que dieron origen a la relación jurídica,
recopilados.
sin que ello tenga como consecuencia la
conclusión del tratamiento.
PROPORCIONALIDAD
Referente a la especificación del
El tratamiento de datos personales será el
que resulte necesario, adecuado y relevante
en relación con las finalidades previstas en el
16
aviso de privacidad. En particular para datos
personales sensibles, el responsable deberá
limitar el periodo de tratamiento al mínimo
indispensable.
Art. 13
Art. 45
Art. 46
5.3 Propósito legítimo
propósito y la legitimidad del
y especificación.
mismo ante la recopilación de
datos personales.
Paso 2. Política de
Gestión de Datos
Personales.
5.4
Límite
recolección.
en
la
Indica las limitantes para la
recopilación
de
datos
personales.
182
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Define
cómo
deben
los
ser
5.5 Minimización de
divulgados
datos.
personales bajo el principio de
datos
la necesidad de saber.
Trata sobre la retención, uso,
5.6 Límites en el uso,
divulgación,
retención,
eliminación
y
eliminación.
transferencia
de
acuerdo
y
al
propósito para el que fueron
recopilados.
CONFIDENCIALIDAD
El responsable o terceros que intervengan en
cualquier fase del tratamiento de datos
17
personales deberán guardar confidencialidad
respecto de éstos, obligación que subsistirá
Paso 2. Política de
Art. 21
Art. 9
Gestión de Datos
Personales.
aun después de finalizar sus relaciones con el
Principio orientado a proveer
5.11 Seguridad de la
integridad,
Información.
disponibilidad
disponibilidad
de
y
datos
personales.
titular o, en su caso, con el responsable.
RESPONSABILIDAD
El responsable tiene la obligación de velar y
responder por el tratamiento de los datos
personales en su posesión, debiendo adoptar
18
las medidas necesarias.
El responsable deberá tomar las medidas
Establece los parámetros de
Paso 2. Política de
Art. 14
Art. 47
Gestión de Datos
Personales.
5.10 Responsabilidad.
responsabilidad
tratamiento
sobre
de
el
datos
personales.
necesarias y suficientes para garantizar que el
aviso de privacidad dado a conocer al titular,
183
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
sea respetado en todo momento por él o
por terceros con los que guarde alguna
relación jurídica.
4.5
Requerimientos
de protección de la
Privacidad.
19
Los responsables deberán adoptar medidas
Paso 5. Realizar el
para
Análisis de Riesgo
garantizar
el
debido
tratamiento,
privilegiando los intereses del titular y la
Art. 14
Art. 48
expectativa razonable de privacidad.
de los Datos
Provee una definición de los
requerimientos de protección
de
datos
personales
y
los
factores que influyen en ellos.
Definir controles de privacidad
4.7
Controles
de
Privacidad.
con base en un análisis de
riesgos
Personales.
e
identificación
de
amenazas.
Principio orientado a proveer
5.11 Seguridad de la
integridad,
Información.
disponibilidad
disponibilidad
de
y
datos
personales.
Elementos para el diseño y
4.6
Elaborar políticas y programas de privacidad
20
obligatorios y exigibles al interior de la
Paso 2. Política de
Art. 48 - I
organización.
Políticas
de
Privacidad.
establecimiento de la política
de
privacidad
de
una
organización.
Gestión de Datos
Establece los parámetros de
Personales.
5.10 Responsabilidad.
responsabilidad
tratamiento
sobre
de
el
datos
personales.
Poner
21
en
práctica
un
programa
de
capacitación, actualización, y concientización
del
personal
sobre
las
obligaciones
materia de protección de datos personales.
en
Paso 9. Mejora
Art. 48 - II
Continua y
Capacitación.
Capacitación.
Establece los parámetros de
5.10 Responsabilidad.
responsabilidad
tratamiento
sobre
de
el
datos
personales.
184
N°
Requerimiento normativo
Establecer
22
un
sistema
de
supervisión
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Actividades
y
vigilancia interna, verificaciones o auditorías
externas para comprobar el cumplimiento de
Art. 48 - III
Paso 8. Revisiones y
Auditoría.
5.12 Cumplimiento de
la Privacidad.
acciones
de
logran
los
protección
de
datos personales.
Paso 3. Establecer
Destinar recursos para la instrumentación de
los programas y políticas de privacidad.
Establece los parámetros de
Funciones y
Art. 48 - IV
Obligaciones de
5.10 Responsabilidad.
Quienes Traten
4.5
Requerimientos
de protección de la
Privacidad.
Instrumentar un procedimiento para que se
personales por la implementación de nuevos
Art. 48 - V
productos, servicios, tecnologías y modelos
Análisis de Riesgo
de los Datos
Personales.
de negocios, así como para mitigarlos.
sobre
tratamiento
de
el
datos
Provee una definición de los
requerimientos de protección
de
datos
personales
y
los
factores que influyen en ellos.
Paso 5. Realizar el
atienda el riesgo para la protección de datos
responsabilidad
personales.
Datos Personales.
24
determinar
las
implementados
objetivos
las políticas de privacidad.
23
que
para
Definir controles de privacidad
4.7
Controles
de
Privacidad.
con base en un análisis de
riesgos
e
identificación
de
amenazas.
Principio orientado a proveer
5.11 Seguridad de la
integridad,
Información.
disponibilidad
disponibilidad
de
y
datos
personales.
Actividades
Revisar
25
periódicamente
las
políticas
y
programas de seguridad para determinar las
modificaciones que se requieran.
Art. 48 - VI
Paso 8. Revisiones y
Auditoría.
5.12 Cumplimiento de
la Privacidad.
que
para
las
acciones
implementados
objetivos
de
determinar
logran
los
protección
de
datos personales.
185
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
Implementación de
las Medidas de
Establecer
26
procedimientos
para
recibir
Seguridad
y
responder dudas y quejas de los titulares de
Art. 48 - VII
los datos personales.
Aplicables a los
Datos Personales.
Cumplimiento
Hace referencia a los derechos
5.9
Acceso
y
del
titular
sobre
sus
datos
participación
personales después de haber
individual.
sido
recopilados
por
el
responsable.
Cotidiano de
Medidas de
Seguridad.
Establece los parámetros de
5.10 Responsabilidad.
Disponer
27
de
mecanismos
para
el
cumplimiento de las políticas y programas de
privacidad, así como de sanciones por su
Paso 3. Funciones y
Art. 48 - VIII
incumplimiento.
sobre
tratamiento
de
el
datos
personales.
Obligaciones de
Actividades
Quienes Traten
Datos Personales.
responsabilidad
5.12 Cumplimiento de
la Privacidad.
que
para
determinar
las
acciones
implementados
objetivos
de
logran
los
protección
de
datos personales.
Definir controles de privacidad
Establecer medidas para el aseguramiento de
Paso 6.
los datos personales, es decir, un conjunto
28
de acciones técnicas y administrativas que
permitan garantizar al responsable el
cumplimiento de los principios y obligaciones
que establece la Ley y su Reglamento.
Identificación de las
Art. 48 - IX
4.7
Controles
de
Privacidad.
de Brecha.
riesgos
e
identificación
de
amenazas.
medidas de
seguridad y Análisis
con base en un análisis de
Principio orientado a proveer
5.11 Seguridad de la
integridad,
Información.
disponibilidad
disponibilidad
de
y
datos
personales.
186
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Definir controles de privacidad
29
Establecer medidas para la trazabilidad de los
Paso 6.
datos personales, es decir acciones, medidas
Identificación de las
y procedimientos técnicos que
permiten
Art. 48 - X
rastrear a los datos personales durante su
Controles
de
Privacidad.
de Brecha.
con base en un análisis de
riesgos
e
identificación
de
amenazas.
medidas de
seguridad y Análisis
tratamiento.
4.7
Principio orientado a proveer
5.11 Seguridad de la
integridad,
Información.
disponibilidad
disponibilidad
de
y
datos
personales.
Paso 7.
Implementación de
Todo responsable deberá designar a una
persona,
o
personales,
30
departamento
quien
dará
de
las Medidas de
datos
trámite
a
Seguridad
las
solicitudes de los titulares, para el ejercicio
Aplicables a los
Art. 30
Datos Personales.
de los derechos a que se refiere la Ley.
Establece los parámetros de
5.10 Responsabilidad.
Cumplimiento
Asimismo fomentará la protección de datos
responsabilidad
tratamiento
sobre
de
el
datos
personales.
Cotidiano de
personales al interior de la organización.
Medidas de
Seguridad.
SEGURIDAD
Todo
responsable
tratamiento
31
de
que
datos
lleve
a
personales
cabo
deberá
establecer y mantener medidas de seguridad
administrativas,
permitan
técnicas
proteger
los
y
datos
físicas
que
personales
Definir controles de privacidad
Paso 6.
Art. 19
Art. 4
Identificación de las
Art. 9
medidas de
Art. 57
seguridad y Análisis
de Brecha.
4.7
Controles
Privacidad.
de
con base en un análisis de
riesgos
e
identificación
de
amenazas.
187
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
contra daño, pérdida, alteración, destrucción
o el uso, acceso o tratamiento no autorizado.
No
adoptarán
medidas
de
seguridad
Principio orientado a proveer
menores a aquellas que mantengan para el
manejo de su información.
5.11 Seguridad de la
integridad,
Información.
disponibilidad
Cuando el encargado se encuentre ubicado
disponibilidad
de
y
datos
personales.
en territorio mexicano, le serán aplicables las
disposiciones relativas a las medidas de
seguridad contenidas en el Capítulo III de
Reglamento.
El responsable determinará las medidas de
Definir controles de privacidad
seguridad aplicables a los datos personales
4.7
que trate, considerando el riesgo existente,
Controles
de
Privacidad.
las posibles consecuencias para los titulares,
tecnológico.
De
manera
riesgos
e
identificación
de
amenazas.
la sensibilidad de los datos y el desarrollo
32
con base en un análisis de
Paso 5. Realizar el
adicional,
el
responsable
procurará tomar en cuenta los siguientes
elementos:
I. El número de titulares;
II. Las vulnerabilidades previas ocurridas en
Art. 19
Art. 60
Análisis de Riesgo
de los Datos
Personales.
Principio orientado a proveer
5.11 Seguridad de la
integridad,
Información.
disponibilidad
disponibilidad
de
y
datos
personales.
los sistemas de tratamiento;
III.
El
riesgo
por
el
valor
potencial
cuantitativo o cualitativo que pudieran tener
188
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
los datos personales tratados para una
tercera
persona
no
autorizada
para
su
posesión, y
IV. Demás factores que puedan incidir en el
nivel de riesgo o que resulten de otras leyes
o regulación aplicable al responsable.
Definir controles de privacidad
4.7
Controles
de
Privacidad.
33
Elaborar un inventario de datos personales y
de los sistemas de tratamiento.
riesgos
Inventario de Datos
Personales.
e
identificación
de
amenazas.
Paso 4. Elaborar un
Art. 61 - I
con base en un análisis de
Principio orientado a proveer
5.11 Seguridad de la
integridad,
disponibilidad
Información.
disponibilidad
de
y
datos
personales.
Establece los parámetros de
Paso 3. Establecer
34
Determinar las funciones y obligaciones de
las personas que traten datos personales.
Funciones y
Art. 61 - II
Obligaciones de
5.10 Responsabilidad.
Quienes Traten
35
Paso 5. Realizar el
personales
Análisis de Riesgo
que
consiste
en
identificar
peligros y estimar los riesgos a los datos
personales.
Art. 61 - III
de los Datos
Personales.
tratamiento
sobre
de
el
datos
personales.
Datos Personales.
Contar con un análisis de riesgos de datos
responsabilidad
Definir controles de privacidad
4.7
Controles
Privacidad.
de
con base en un análisis de
riesgos
e
identificación
de
amenazas.
189
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Principio orientado a proveer
5.11 Seguridad de la
integridad,
disponibilidad
Información.
disponibilidad
de
y
datos
personales.
Principio orientado a proveer
Paso 6.
Establecer
36
las
medidas
de
seguridad
aplicables a los datos personales e identificar
Identificación de las
Art. 61 - IV
aquéllas implementadas de manera efectiva.
medidas de
5.11 Seguridad de la
integridad,
Información.
disponibilidad
seguridad y Análisis
disponibilidad
de
y
datos
personales.
de Brecha.
Definir controles de privacidad
4.7
37
Realizar el análisis de brecha que consiste en
Paso 6.
la diferencia de las medidas de seguridad
Identificación de las
existentes y aquéllas faltantes que resultan
Art. 61 - V
necesarias para la protección de los datos
de
Privacidad.
de Brecha.
con base en un análisis de
riesgos
e
identificación
de
amenazas.
medidas de
seguridad y Análisis
personales.
Controles
Principio orientado a proveer
5.11 Seguridad de la
integridad,
Información.
disponibilidad
disponibilidad
de
y
datos
personales.
Paso 7.
Principio orientado a proveer
Implementación de
Elaborar
38
un
plan
de
trabajo
para
la
implementación de las medidas de seguridad
faltantes, derivadas del análisis de brecha.
las Medidas de
Art. 61 - VI
Seguridad
Aplicables a los
Datos Personales.
5.11 Seguridad de la
integridad,
Información.
disponibilidad
disponibilidad
de
y
datos
personales.
Plan de Trabajo
190
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
para la
Implementación de
las Medidas de
Seguridad Faltantes.
Actividades
39
Llevar a cabo revisiones o auditorías.
Art. 61 - VII
Paso 8. Revisiones y
Auditoría.
5.12 Cumplimiento de
la Privacidad.
que
para
determinar
las
acciones
implementados
objetivos
de
logran
los
protección
de
datos personales.
Establece los parámetros de
Paso 9. Mejora
40
Capacitar
al
personal
que
efectúe
el
tratamiento de datos personales.
Art. 61 - VIII
Continua y
5.10 Responsabilidad.
Capacitación.
responsabilidad
tratamiento
sobre
de
el
datos
personales.
Capacitación.
Definir controles de privacidad
4.7
Paso 5. Realizar el
41
Realizar un
registro de
los medios de
almacenamiento de los datos personales.
Controles
de
Privacidad.
de los Datos
Personales.
riesgos
e
identificación
de
amenazas.
Análisis de Riesgo
Art. 61 - IX
con base en un análisis de
Principio orientado a proveer
5.11 Seguridad de la
integridad,
Información.
disponibilidad
disponibilidad
de
y
datos
personales.
191
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Definir controles de privacidad
4.7
3. Acciones a
42
Contar con una relación de las medidas de
seguridad.
Controles
de
Privacidad.
seguridad de los
datos personales
documentadas.
riesgos
e
identificación
de
amenazas.
implementar para la
Art. 61
con base en un análisis de
Principio orientado a proveer
5.11 Seguridad de la
integridad,
disponibilidad
Información.
disponibilidad
de
y
datos
personales.
Actualizar las medidas de seguridad cuando:
I. Se modifiquen las medidas o procesos de
seguridad para su mejora continua, derivado
de las revisiones a la política de seguridad
del responsable.
Actividades
II. Se produzcan modificaciones sustanciales
en el tratamiento que deriven en un cambio
43
del nivel de riesgo.
Art. 62
III. Se vulneren los sistemas de tratamiento,
de conformidad con lo dispuesto en el
Paso 8. Revisiones y
Auditoría.
5.12 Cumplimiento de
la Privacidad.
que
para
las
acciones
implementados
objetivos
de
determinar
logran
los
protección
de
datos personales.
artículo 20 de la Ley y 63 de su Reglamento.
IV.
Exista
una
afectación
a
los
datos
personales distinta a las anteriores.
En el caso de datos personales sensibles, los
responsables procurarán revisar y, en su caso,
actualizar las relaciones correspondientes una
192
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
vez al año.
VULNERACIONES A LA SEGURIDAD
Las vulneraciones de seguridad ocurridas en
cualquier fase del tratamiento que afecten de
44
o morales de los titulares, serán informadas
de forma inmediata por el responsable al
Establece los parámetros de
Paso 8. Revisiones y
forma significativa los derechos patrimoniales
Art. 20
Art. 63
Art. 64
titular, a fin de que este último pueda tomar
Auditoría.
Vulneraciones a la
5.10 Responsabilidad.
Seguridad de la
tratamiento
sobre
de
el
datos
personales.
Información.
las medidas correspondientes a la defensa de
responsabilidad
sus derechos.
En caso de que ocurra una vulneración a la
seguridad
de
los
datos
personales,
el
responsable deberá informar al titular al
menos lo siguiente:
45
II. Los datos personales comprometidos.
III. Las recomendaciones al titular acerca de
las medidas que éste pueda adoptar para
proteger sus intereses.
Establece los parámetros de
Paso 8. Revisiones y
I. La naturaleza del incidente.
Auditoría.
Art. 65
Vulneraciones a la
Seguridad de la
Información.
5.10 Responsabilidad.
responsabilidad
tratamiento
sobre
de
el
datos
personales.
IV. Las acciones correctivas realizadas de
forma inmediata.
V. Los medios donde puede obtener más
información al respecto.
193
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
En caso de que ocurra una vulneración a los
datos
personales,
el responsable
deberá
analizar las causas por las cuales se presentó
46
e
implementar
las
acciones
correctivas,
Establece los parámetros de
Paso 8. Revisiones y
Auditoría.
Art. 66
Vulneraciones a la
preventivas y de mejora para adecuar las
Seguridad de la
medidas de seguridad correspondientes, a
Información.
5.10 Responsabilidad.
responsabilidad
sobre
tratamiento
de
el
datos
personales.
efecto de evitar que la vulneración se repita.
ENCARGADO
El
encargado
tendrá
las
Describe las características de
siguientes
4.2.4 Terceros.
obligaciones respecto del tratamiento que
realice por cuenta del responsable:
personales.
I. Tratar únicamente los datos personales
Describe los escenarios en los
conforme a las instrucciones del responsable.
que
II. Abstenerse de tratar los datos personales
4.3 Interacciones.
para finalidades distintas a las instruidas por
III. Implementar las medidas de seguridad
conforme a la Ley, su Reglamento y las
Art. 50
datos personales tratados.
V. Suprimir los datos personales objeto de
General.
con
el
responsable
o
ser
personales
tratados
para
niveles
de
Establece que se deben de
4.5.1 Factores legales
y regulatorios.
tratamiento una vez cumplida la relación
jurídica
pueden
datos
responsabilidad.
1. Recomendación
demás disposiciones aplicables.
IV. Guardar confidencialidad respecto de los
los
determinar
el responsable.
47
un tercero en relación a datos
tomar
en
cuenta
leyes
y
regulaciones legales de acuerdo
a
la
localidad
donde
se
encuentre la compañía.
por
instrucciones del responsable, siempre y
4.5.2
cuando no exista una previsión legal que
contractuales.
exija la conservación de los datos personales.
Factores
Indica
que los requerimientos
para el resguardo de datos
194
N°
Requerimiento normativo
VI.
Abstenerse
de
transferir
los
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
datos
personales
personales salvo en el caso de que el
responsable
así
lo
determine,
afectados
la
cuando
así
lo
requiera
la
por
ser
las
relaciones
de
seguridad
datos
personales
contractuales.
comunicación derive de una subcontratación,
o
pueden
autoridad
Las
competente.
4.5.3
Factores
de
negocio.
medidas
sobre
los
pueden
variar
por
factores
propios del negocio.
Provee algunos otros factores
que
4.5.4 Otros factores.
pueden
definición
afectar
la
medidas
de
relacionadas
a
de
seguridad
privacidad de datos.
Principio orientado a proveer
5.11 Seguridad de la
integridad,
Información.
disponibilidad
disponibilidad
de
y
datos
personales.
SUBCONTRATACIONES
La
48
relación
entre
el
responsable
y
el
encargado deberá estar establecida mediante
cláusulas contractuales u otro instrumento
jurídico que decida el responsable, que
Paso 7.
Art. 51
Implementación de
las Medidas de
Seguridad
Establece que se deben de
4.5.1 Factores legales
y regulatorios.
tomar
en
cuenta
leyes
y
regulaciones legales de acuerdo
a
la
localidad
donde
se
195
N°
Requerimiento normativo
permita acreditar su existencia, alcance y
contenido.
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Aplicables a los
encuentre la compañía.
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
Indica
Seguridad.
4.5.2
Factores
contractuales.
que los requerimientos
para el resguardo de datos
personales
afectados
pueden
por
ser
las
relaciones
de
seguridad
datos
personales
contractuales.
Las
4.5.3
Factores
de
negocio.
medidas
sobre
los
pueden
variar
por
factores
propios del negocio.
Provee algunos otros factores
que
4.5.4 Otros factores.
pueden
definición
seguridad
afectar
la
medidas
de
relacionadas
a
de
privacidad de datos.
196
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Establece los parámetros de
5.10 Responsabilidad.
responsabilidad
sobre
tratamiento
de
el
datos
personales.
Describe las características de
4.2.4 Terceros.
Toda subcontratación de servicios por parte
un tercero en relación a datos
personales.
del encargado que implique el tratamiento
de datos personales deberá ser autorizada
Describe los escenarios en los
por el responsable, y se realizará en nombre
y por cuenta de este último.
Una
vez
obtenida
la
autorización,
Paso 7.
el
Implementación de
encargado deberá formalizar la relación con
el
subcontratado
a
través
de
49
permita acreditar su existencia, alcance y
contenido.
En caso de que la subcontratación no haya
sido prevista en cláusulas contractuales, el
encargado deberá obtener la autorización
correspondiente
del
responsable
4.3 Interacciones.
Aplicables a los
Art. 55
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
pueden
datos
ser
personales
tratados
para
niveles
de
responsabilidad.
Seguridad
Art. 54
los
determinar
las Medidas de
cláusulas
contractuales u otro instrumento jurídico que
que
Establece que se deben de
4.5.1 Factores legales
y regulatorios.
Seguridad.
tomar
en
cuenta
leyes
y
regulaciones legales de acuerdo
a
la
localidad
donde
se
encuentre la compañía.
previamente.
La
obligación
de
acreditar
que
la
subcontratación se realizó con autorización
del responsable corresponderá al encargado.
Indica
4.5.2
contractuales.
Factores
que los requerimientos
para el resguardo de datos
personales
afectados
pueden
por
las
ser
relaciones
197
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
contractuales.
Las
4.5.3
Factores
de
negocio.
medidas
sobre
los
pueden
de
seguridad
datos
personales
variar
por
factores
propios del negocio.
Provee algunos otros factores
que
4.5.4 Otros factores.
pueden
definición
afectar
la
medidas
de
relacionadas
a
de
seguridad
privacidad de datos.
Principio orientado a proveer
5.11 Seguridad de la
integridad,
Información.
disponibilidad
disponibilidad
de
y
datos
personales.
CÓMPUTO EN LA NUBE
50
Para el tratamiento de datos personales en
Paso 7.
servicios, aplicaciones e infraestructura en el
Implementación de
denominado cómputo en la nube, en los que
Art. 52 - I
las Medidas de
el responsable se adhiera a los mismos
Seguridad
mediante condiciones o cláusulas generales
Aplicables a los
Describe las características de
4.2.4 Terceros.
un tercero en relación a datos
personales.
198
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
de contratación, sólo podrá utilizar aquellos
Datos Personales.
servicios en los que el proveedor cumpla, al
Cumplimiento
menos, con lo siguiente:
Cotidiano de
Medidas de
a) Tener y aplicar políticas de protección de
Identificador y
nombre
Descripción
Objetivo de Control
Describe los escenarios en los
que
4.3 Interacciones.
ser
personales
tratados
determinar
Seguridad.
para
niveles
de
responsabilidad.
deberes aplicables que establece la Ley y su
Establece que se deben de
Reglamento;
involucren la información sobre la que se
datos
pueden
datos personales afines a los principios y
b) Transparentar las subcontrataciones que
los
4.5.1 Factores legales
y regulatorios.
tomar
en
cuenta
leyes
regulaciones legales de acuerdo
a
la
localidad
donde
presta el servicio;
encuentre la compañía.
c) Abstenerse de incluir condiciones en la
Indica
prestación del servicio que le autoricen o
permitan asumir la titularidad o propiedad de
4.5.2
Factores
la información sobre la que presta el servicio,
contractuales.
se
que los requerimientos
para el resguardo de datos
personales
afectados
y
y
pueden
por
ser
las
relaciones
de
seguridad
datos
personales
contractuales.
d) Guardar confidencialidad respecto de los
datos personales sobre los que se preste el
servicio.
Las
4.5.3
Factores
negocio.
de
medidas
sobre
pueden
los
variar
por
factores
propios del negocio.
199
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Provee algunos otros factores
que
4.5.4 Otros factores.
pueden
definición
afectar
la
medidas
de
relacionadas
a
de
seguridad
privacidad de datos.
Principio orientado a proveer
5.11 Seguridad de la
integridad,
disponibilidad
Información.
disponibilidad
de
y
datos
personales.
Describe las características de
Para el tratamiento de datos personales en
4.2.4 Terceros.
servicios, aplicaciones e infraestructura en el
denominado cómputo en la nube, en los que
Implementación de
mediante condiciones o cláusulas generales
a) Dar a conocer cambios en sus políticas de
privacidad o condiciones del servicio que
presta;
b) Permitir al responsable limitar el tipo de
tratamiento de los datos personales sobre los
que
Seguridad
servicios en los que el proveedor cuente con
mecanismos, al menos, para:
Describe los escenarios en los
las Medidas de
de contratación, sólo podrá utilizar aquellos
51
personales.
Paso 7.
el responsable se adhiera a los mismos
Art. 52 - II
Aplicables a los
un tercero en relación a datos
4.3 Interacciones.
Datos Personales.
los
pueden
datos
ser
tratados
determinar
Cumplimiento
personales
para
niveles
de
responsabilidad.
Cotidiano de
Medidas de
Seguridad.
Establece que se deben de
4.5.1 Factores legales
y regulatorios.
tomar
en
cuenta
leyes
y
regulaciones legales de acuerdo
a
la
localidad
donde
se
200
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
que se presta el servicio;
c)
Establecer
y
encuentre la compañía.
mantener
medidas
de
seguridad adecuadas para la protección de
Indica
los datos personales sobre los que se preste
el servicio;
4.5.2
Factores
contractuales.
d) Garantizar la supresión de los datos
último haya podido recuperarlos, y
Las
4.5.3
e) Impedir el acceso a los datos personales a
Factores
de
negocio.
personas que no cuenten con privilegios de
competente,
informar
de
de
autoridad
ese
hecho
pueden
por
ser
las
relaciones
de
seguridad
datos
personales
medidas
sobre
los
pueden
variar
por
factores
propios del negocio.
acceso, o bien en caso de que sea a solicitud
motivada
personales
contractuales.
servicio prestado al responsable, y que este
y
para el resguardo de datos
afectados
personales una vez que haya concluido el
fundada
que los requerimientos
Provee algunos otros factores
al
que
responsable.
4.5.4 Otros factores.
pueden
definición
afectar
la
medidas
de
relacionadas
a
de
seguridad
privacidad de datos.
Principio orientado a proveer
5.11 Seguridad de la
integridad,
Información.
disponibilidad
disponibilidad
de
y
datos
personales.
TRANSFERENCIAS
201
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Cuando el responsable pretenda transferir los
Describe
datos personales a terceros nacionales o
extranjeros, distintos del encargado, deberá
Paso 7.
comunicar a éstos el aviso de privacidad y las
Implementación de
finalidades a las que el titular sujetó su
las Medidas de
tratamiento.
52
Art. 68
El tratamiento de los datos se hará conforme
a lo convenido en el aviso de privacidad, el
cual contendrá una cláusula en la que se
Art. 36
5.2
Opción
y
consentimiento.
Aplicables a los
Art. 72
Datos Personales.
Art. 74
Cumplimiento
la
Cotidiano de
transferencia de sus datos, de igual manera,
Medidas de
y especificación.
el tercero receptor, asumirá las mismas
Seguridad.
si
el
obligaciones
titular
que
acepta
o
no
correspondan
ser
presentados los principios de
opción
y
consentimiento
al
dueño de los datos personales
Referente a la especificación del
5.3 Propósito legítimo
indique
deben
que serán obtenidos.
Seguridad
Art. 71
cómo
propósito y la legitimidad del
mismo ante la recopilación de
datos personales.
al
responsable que transfirió los datos.
Paso 7.
Para
efectos
transferencia,
de
demostrar
sea
ésta
que
la
nacional
o
Implementación de
las Medidas de
internacional, se realiza conforme a lo que
53
establece la Ley y su Reglamento, la carga de
la prueba recaerá, en todos los casos, en el
responsable que transfiere y en el receptor
de los datos personales.
Establece los parámetros de
Seguridad
Art. 69
Aplicables a los
Datos Personales.
Cumplimiento
5.10 Responsabilidad.
responsabilidad
tratamiento
sobre
de
el
datos
personales.
Cotidiano de
Medidas de
Seguridad.
202
N°
Requerimiento normativo
En
el caso de
transferencias
de
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
datos
Describe
personales entre sociedades controladoras,
los
componentes
subsidiarias o afiliadas bajo el control común
4 Elementos básicos
básicos
del mismo grupo del responsable, o a una
del marco de trabajo
privacidad de datos personales
sociedad matriz o a cualquier sociedad del
de Privacidad.
para
para garantizar que el receptor de los datos
personales cumplirá con las disposiciones
Art. 70
previstas en la Ley, su Reglamento y demás
el
a
establecimiento
la
del
1. Recomendación
General
normativa aplicable, podrá ser la existencia
Describe a detalle los principios
5 Los principios de
de normas internas de protección de datos
Privacidad de ISO/IEC
personales cuya observancia sea vinculante,
29100.
siempre y cuando éstas cumplan con lo
establecido en la Ley, su
relacionados
marco de privacidad.
mismo grupo del responsable, el mecanismo
54
Descripción
Objetivo de Control
que deben ser utilizados para el
desarrollo
de
políticas
y
procedimientos utilizados para
la
protección
de
datos
personales.
Reglamento y
demás normativa aplicable.
Paso 7.
Implementación de
La
transferencia
deberá
formalizarse
las Medidas de
mediante algún mecanismo que permita
55
demostrar que el responsable transferente
Art. 73
Aplicables a los
comunicó
Art. 75
Datos Personales.
al
responsable
receptor
las
Establece los parámetros de
Seguridad
condiciones en las que el titular consintió el
Cumplimiento
tratamiento de sus datos personales.
Cotidiano de
5.10 Responsabilidad.
responsabilidad
tratamiento
sobre
de
el
datos
personales.
Medidas de
Seguridad.
203
4.7 ISO/IEC 20000-1:2011 Information technology - Service management -Part 1: Service
management system requirements.
Introducción. ISO 20000 es un estándar orientado al establecimiento de procesos y procedimientos para la gestión de
servicios de TI y con ello prevenir los riesgos tecnológicos dentro de la operación de una organización. La gestión de los
servicios de tecnología informática es un enfoque integrado basado en procesos que alinea la prestación de servicios de
TI con las necesidades de la organización que los presta.
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
RESPONSABLE
La gerencia debe proporcionar
evidencia de su compromiso
4.1
Responsabilidad
de la Gerencia.
licitud,
consentimiento,
información,
calidad, finalidad, lealtad, proporcionalidad y
responsabilidad, previstos en la Ley.
operar,
mejorar el sistema de gestión
personales, deberán observar los principios
de
implementar,
monitorear, revisar, mantener y
Los responsables en el tratamiento de datos
1
con la planificación, establecer,
Art. 6
Art. 9
de servicios.
1. Recomendación
El
General.
4.2
Gobierno
procesos
de
operados
por otras partes.
proveedor
deberá
del
servicio
demostrar
la
gobernabilidad de los procesos
gestionados
interno,
por
un
un
cliente
grupo
o
un
proveedor.
4.3
Gestión
documentación.
de
El proveedor del servicio debe
establecer
y
mantener
los
204
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
documentos,
registros,
incluyendo
para
asegurar
los
la
eficaz planificación, operación y
control del sistema de gestión
de servicios.
El proveedor de servicios debe
4.4
Gestión
de
Recursos.
determinar y proporcionar los
recursos
humanos,
informativos
y
técnicos,
financieros
necesarios.
El proveedor de servicios debe
4.5
y
definir e incluir el alcance del
mejorar el Sistema de
Establecer
sistema de gestión de servicios
Gestión de Servicios.
en
el
plan
de
gestión
de
servicios.
El
proveedor
deberá
utilizar
de
servicios
este
proceso
5 Diseño y transición
para todos los nuevos servicios
de servicios nuevos y
y cambios a los servicios con el
cambiados.
potencial de tener un impacto
importante en los servicios o la
atención al cliente.
El
6
Procesos
de
Entrega de Servicios.
proveedor
de
servicios
deberá estar de acuerdo a los
servicios que se entregarán con
el cliente.
7
Procesos
Relacionamiento.
de
El
proveedor
de
servicios
deberá identificar y documentar
205
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
los clientes, usuarios y partes
interesadas de los servicios.
8
Procesos
de
Resolución.
Habrá
un
procedimiento
documentado para todas las
incidencias.
Habrá
una
definición
documentada de cada tipo de
9
Procesos
de
Control.
elemento de configuración. La
información
registrada
para
cada elemento de configuración
garantizará el control.
LICITUD Y LEALTAD
Los datos personales deberán recabarse y
tratarse de manera lícita, privilegiando la
El
protección de los intereses del titular y la
expectativa
2
razonable
de
privacidad,
sin
importar la fuente de la que se obtienen los
datos.
proveedor
deberá
Art. 7
Art. 7
Art. 10
Art. 44
Paso 1. Alcance y
Objetivos.
utilizar
de
servicios
este
proceso
5 Diseño y transición
para todos los nuevos servicios
de servicios nuevos y
y cambios a los servicios con el
cambiados.
potencial de tener un impacto
importante en los servicios o la
La obtención de datos personales no debe
atención al cliente.
hacerse a través de medios engañosos o
fraudulentos.
CONSENTIMIENTO
El tratamiento de datos personales estará
Art. 11
sujeto al consentimiento de su titular, salvo
3
las excepciones previstas por la Ley.
Los
datos
financieros
o
patrimoniales
Art. 8
Art. 12
Art. 15
El
proveedor
de
servicios
proceso
5 Diseño y transición
deberá
Gestión de Datos
de servicios nuevos y
para todos los nuevos servicios
cambiados.
y cambios a los servicios con el
Personales.
utilizar
este
Paso 2. Política de
potencial de tener un impacto
206
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
requerirán consentimiento expreso de su
importante en los servicios o la
titular.
atención al cliente.
Cuando los datos personales se obtengan
personalmente o de manera directa de su
titular, el consentimiento deberá ser previo al
tratamiento.
El
proveedor
deberá
El responsable deberá facilitar al titular
4
medios sencillos y gratuitos para manifestar
Art. 8
Art. 16
su consentimiento expreso.
utilizar
de
servicios
este
proceso
Paso 2. Política de
5 Diseño y transición
para todos los nuevos servicios
Gestión de Datos
de servicios nuevos y
y cambios a los servicios con el
cambiados.
potencial de tener un impacto
Personales.
importante en los servicios o la
atención al cliente.
Tratándose de datos personales sensibles, el
responsable
5
deberá
obtener
el
consentimiento expreso y por escrito del
Gestión
titular
autoridad aprobará una política
para
su
tratamiento.
No podrán crearse bases de datos que
Art. 9
Art. 56
contengan datos personales sensibles, sin
Paso 2. Política de
6.6.1
Gestión de Datos
Seguridad
Personales.
Política
de
de
la
Información.
con
apropiada
de seguridad de la información,
teniendo
en
cuenta
los
requisitos de servicio requisitos
que se justifique la creación de las mismas
legales y reglamentarios y las
para
obligaciones contractuales.
finalidades
legítimas,
concretas
y
acordes con las actividades o fines explícitos
que persigue el sujeto regulado.
Para efectos de demostrar la obtención del
6
consentimiento,
recaerá,
en
la
todos
carga
los
de
la
casos,
prueba
en
el
Paso 7.
Art. 20
Implementación de
las Medidas de
4.3.3
Control
registros.
de
Se deberán mantener registros
para demostrar la conformidad
con los requisitos así como el
207
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
responsable.
Identificador y
nombre
Descripción
Objetivo de Control
Seguridad
buen
Aplicables a los
El
Cumplimiento
Medidas de
Seguridad.
del
sistema de gestión de servicios.
Datos Personales.
Cotidiano de
funcionamiento
proveedor
deberá
utilizar
de
servicios
este
proceso
5 Diseño y transición
para todos los nuevos servicios
de servicios nuevos y
y cambios a los servicios con el
cambiados.
potencial de tener un impacto
importante en los servicios o la
atención al cliente.
INFORMACIÓN
A
través
del
aviso
de
privacidad,
el
responsable tendrá la obligación de informar
a los titulares, los datos que recaba, las
finalidades necesarias y las que no lo son
para
la
relación
jurídica,
así
como
las
características principales de su tratamiento.
7
Cuando se traten datos personales como
Art. 14
Paso 2. Política de
parte de un proceso de toma de decisiones
Art. 23
Gestión de Datos
Art. 112
Personales.
sin que intervenga la valoración de una
persona
física,
el
responsable
deberá
Art. 15
7.1
Gestión
relaciones
negocio.
de
las
de
El
proveedor
de
servicios
deberá identificar y documentar
los clientes, usuarios y partes
interesadas de los servicios.
informar al titular que esta situación ocurre.
Si obtiene los datos de manera automática,
deberá informar al titular sobre el uso de
estas tecnologías y la forma en que podrá
deshabilitarlas.
208
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
Implementación de
las Medidas de
Cuando los datos personales sean obtenidos
directamente
8
del
titular,
el
aviso
Seguridad
de
privacidad debe ponerse a disposición de los
Art. 3, I
titulares a través de formatos impresos,
Art. 17
Art. 27
digitales, visuales, sonoros o cualquier otra
Aplicables a los
Datos Personales.
Cumplimiento
tecnología.
7.1
Gestión
de
relaciones
las
de
negocio.
El
proveedor
de
servicios
deberá identificar y documentar
los clientes, usuarios y partes
interesadas de los servicios.
Cotidiano de
Medidas de
Seguridad.
Paso 7.
El aviso de privacidad
debe contener un
mecanismo,
el
para
que
titular
Implementación de
las Medidas de
pueda
manifestar su negativa al tratamiento de sus
9
datos
personales.
Cuando
los
datos
se
obtengan de manera indirecta del titular, el
Art. 14
Art. 18
Art. 29
Art. 32
responsable deberá darle a conocer el aviso
Seguridad
Aplicables a los
Datos Personales.
Cumplimiento
7.1
Gestión
de
relaciones
las
de
negocio.
El
proveedor
de
servicios
deberá identificar y documentar
los clientes, usuarios y partes
interesadas de los servicios.
Cotidiano de
de privacidad y sus cambios.
Medidas de
Seguridad
Paso 7.
Para efectos de demostrar la puesta a
disposición
10
del
aviso
de
privacidad
en
cumplimiento del principio de información, la
carga de la prueba recaerá, en todos los
casos, en el responsable.
Implementación de
las Medidas de
Art. 31
Seguridad
Aplicables a los
Datos Personales.
Se deberán mantener registros
4.3.3
Control
registros.
de
para demostrar la conformidad
con los requisitos así como el
buen
funcionamiento
del
sistema de gestión de servicios.
Cumplimiento
209
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Cotidiano de
Medidas de
Seguridad.
CALIDAD
El responsable procurará que los datos
Habrá
personales contenidos en las bases de datos
11
sean
exactos,
completos,
pertinentes,
correctos y actualizados según se requiera
Paso 2. Política de
Art. 11
Art. 36
Gestión de Datos
Personales.
para el cumplimiento de la finalidad para la
una
definición
documentada de cada tipo de
9.1
Gestión
de
la
Configuración.
elemento de configuración. La
información
registrada
para
cada elemento de configuración
cual son tratados.
garantizará el control.
Cuando los datos de carácter personal hayan
dejado
de
ser
necesarios
para
el
cumplimiento de las finalidades previstas por
el aviso de privacidad y las disposiciones
El
legales aplicables, deberán ser cancelados,
previo bloqueo de los mismos.
12
Art. 3 III
El responsable de la base de datos estará
obligado a eliminar la información relativa al
incumplimiento
de
obligaciones
contractuales, una vez que transcurra un
proveedor
deberá
Art. 11
Art. 37
utilizar
de
servicios
este
proceso
Paso 2. Política de
5 Diseño y transición
para todos los nuevos servicios
Gestión de Datos
de servicios nuevos y
y cambios a los servicios con el
cambiados.
potencial de tener un impacto
Personales.
importante en los servicios o la
atención al cliente.
plazo de setenta y dos meses, contado a
partir de la fecha calendario en que se
presente el mencionado incumplimiento.
210
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
El
deberá
El responsable establecerá y documentará
13
proveedor
procedimientos para la conservación y, en su
Art. 38
caso, bloqueo y supresión de los datos
servicios
este
proceso
Paso 2. Política de
5 Diseño y transición
para todos los nuevos servicios
Gestión de Datos
de servicios nuevos y
y cambios a los servicios con el
cambiados.
potencial de tener un impacto
Personales.
personales.
utilizar
de
importante en los servicios o la
atención al cliente.
Paso 7.
Implementación de
El
las Medidas de
Seguridad
Al responsable le corresponde demostrar que
14
los datos personales se conservan, o en su
Art. 39
caso, bloquean, suprimen o cancelan.
Aplicables a los
Datos Personales.
Cumplimiento
proveedor
deberá
utilizar
de
servicios
este
proceso
5 Diseño y transición
para todos los nuevos servicios
de servicios nuevos y
y cambios a los servicios con el
cambiados.
potencial de tener un impacto
importante en los servicios o la
Cotidiano de
atención al cliente.
Medidas de
Seguridad.
FINALIDAD
El tratamiento de datos personales deberá
limitarse al cumplimiento de las finalidades
previstas en el aviso de privacidad.
Si el responsable pretende tratar los datos
15
para un fin distinto al establecido, deberá
obtener nuevamente el consentimiento del
titular.
Art. 12
Art. 40
Paso 2. Política de
Art. 42
Gestión de Datos
Art. 43
Personales.
La
4.1.2
Política
de
Gestión del Servicio.
alta
dirección
debe
asegurarse de que la política de
gestión
del
servicio
es
apropiada.
El titular podrá oponerse o revocar su
consentimiento para las finalidades distintas
211
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
a las que dieron origen a la relación jurídica,
sin que ello tenga como consecuencia la
conclusión del tratamiento.
PROPORCIONALIDAD
El tratamiento de datos personales será el
que resulte necesario, adecuado y relevante
en relación con las finalidades previstas en el
16
aviso de privacidad. En particular para datos
Art. 13
personales sensibles, el responsable deberá
Art. 45
Art. 46
Paso 2. Política de
Gestión de Datos
Personales.
La
4.1.2
Política
de
Gestión del Servicio.
alta
dirección
debe
asegurarse de que la política de
gestión
del
servicio
es
apropiado.
limitar el periodo de tratamiento al mínimo
indispensable.
CONFIDENCIALIDAD
El
6.6.2
Controles
Seguridad
de
deberá implementar y operar
los controles de seguridad de
información
aun después de finalizar sus relaciones con el
físicos,
administrativos y técnicos.
El
cualquier fase del tratamiento de datos
respecto de éstos, obligación que subsistirá
servicios
la
El responsable o terceros que intervengan en
17
de
de
Información.
personales deberán guardar confidencialidad
proveedor
Paso 2. Política de
Art. 21
Art. 9
Gestión de Datos
Personales.
4.2
Gobierno
procesos
de
operados
por otras partes.
proveedor
deberá
servicio
la
gobernabilidad de los procesos
gestionados
interno,
titular o, en su caso, con el responsable.
del
demostrar
un
por
un
cliente
grupo
o
un
proveedor,
el
proveedor.
Para
7.2
Gestión
proveedores.
de
cada
proveedor de servicios deberá
tener una persona designada
que
es
responsable
de
la
212
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
gestión
de
la
relación,
el
contrato y el rendimiento del
proveedor.
RESPONSABILIDAD
La gerencia debe proporcionar
evidencia de su compromiso
4.1
Responsabilidad
de la Gerencia.
con la planificación, establecer,
implementar,
operar,
monitorear, revisar, mantener y
mejorar el sistema de gestión
de servicios.
El responsable tiene la obligación de velar y
El
responder por el tratamiento de los datos
personales en su posesión, debiendo adoptar
4.2
las medidas necesarias.
procesos
Paso 2. Política de
18
El responsable deberá tomar las medidas
necesarias y suficientes para garantizar que el
Art. 14
Art. 47
Gobierno
de
operados
por otras partes.
proveedor
deberá
servicio
la
gobernabilidad de los procesos
gestionados
interno,
Gestión de Datos
del
demostrar
por
un
un
cliente
grupo
o
un
proveedor.
Personales.
El proveedor del servicio debe
aviso de privacidad dado a conocer al titular,
establecer
sea respetado en todo momento por él o
por terceros con los que guarde alguna
4.3
relación jurídica.
documentación.
Gestión
de
y
documentos,
registros,
mantener
los
incluyendo
los
para
asegurar
la
eficaz planificación, operación y
control del sistema de gestión
de servicios.
El proveedor de servicios debe
4.4
Gestión
Recursos.
de
determinar y proporcionar los
recursos
humanos,
informativos
y
técnicos,
financieros
213
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
necesarios.
El proveedor de servicios debe
4.5
y
definir e incluir el alcance del
mejorar el Sistema de
Establecer
sistema de gestión de servicios
Gestión de Servicios.
en
el
plan
de
gestión
de
servicios.
El
proveedor
deberá
utilizar
de
servicios
este
proceso
5 Diseño y transición
para todos los nuevos servicios
de servicios nuevos y
y cambios a los servicios con el
cambiados.
potencial de tener un impacto
importante en los servicios o la
atención al cliente.
El
6
Procesos
de
Entrega de Servicios.
proveedor
de
servicios
deberá estar de acuerdo a los
servicios que se entregarán con
el cliente.
El
7
Procesos
de
Relacionamiento.
proveedor
de
servicios
deberá identificar y documentar
los clientes, usuarios y partes
interesadas de los servicios.
8
Procesos
de
Resolución.
9
Procesos
Control.
Habrá
un
procedimiento
documentado para todas las
incidencias.
de
Habrá
una
definición
documentada de cada tipo de
elemento de configuración. La
214
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
información
registrada
para
cada elemento de configuración
garantizará el control.
Incidentes de seguridad de la
Los responsables deberán adoptar medidas
19
para
garantizar
el
debido
tratamiento,
privilegiando los intereses del titular y la
Art. 14
Art. 48
expectativa razonable de privacidad.
Paso 5. Realizar el
6.6.3
Análisis de Riesgo
incidentes
de los Datos
Seguridad
Personales.
Cambios
e
de
de
la
Información.
información,
serán
administrados
mediante
los
procedimientos de gestión de
incidentes, con una apropiada
prioridad
a
los
riesgos
de
seguridad de la información.
Gestión
con
apropiada
autoridad aprobará una política
Elaborar políticas y programas de privacidad
20
obligatorios y exigibles al interior de la
Art. 48 - I
organización.
Paso 2. Política de
6.6.1
Gestión de Datos
Seguridad
Personales.
Política
de
de
la
Información.
de seguridad de la información,
teniendo
en
cuenta
los
requisitos de servicio requisitos
legales y reglamentarios y las
obligaciones contractuales.
El personal del proveedor de
servicios que realice trabajos
4.4.2
Poner
21
en
práctica
un
programa
de
capacitación, actualización, y concientización
del
personal
sobre
las
obligaciones
materia de protección de datos personales.
en
Paso 9. Mejora
Art. 48 - II
Recursos
Humanos.
que afecten la conformidad con
los requisitos de servicio debe
ser competente con base en la
Continua y
educación,
Capacitación.
formación,
habilidades y experiencia.
Capacitación.
6.6.1
Política
Seguridad
Información.
de
de
la
Gestión
con
apropiada
autoridad aprobará una política
de seguridad de la información,
teniendo
en
cuenta
los
215
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
requisitos de servicio requisitos
legales y reglamentarios y las
obligaciones contractuales.
El
6.6.2
Controles
Seguridad
de
proveedor
de
servicios
de
deberá implementar y operar
la
los controles de seguridad de
Información.
información
físicos,
administrativos y técnicos.
El
6.6.2
Controles
Seguridad
Establecer
22
un
sistema
de
supervisión
externas para comprobar el cumplimiento de
Art. 48 - III
las políticas de privacidad.
servicios
la
los controles de seguridad de
información
físicos,
administrativos y técnicos.
Paso 8. Revisiones y
Auditoría.
de
deberá implementar y operar
Información.
y
vigilancia interna, verificaciones o auditorías
de
proveedor
de
El
4.5.4
Monitoreo
y
proveedor
deberá
de
servicios
utilizar
métodos
revisión del Sistema
adecuados para el seguimiento
de
y la medición del sistema de
Gestión
de
Servicios.
gestión
de
servicios
y
los
servicios.
El proveedor de servicios debe
Paso 3. Establecer
23
Destinar recursos para la instrumentación de
los programas y políticas de privacidad.
Funciones y
Art. 48 - IV
4.4.1
Provisión
de
Recursos.
Datos Personales.
recursos
humanos,
informativos
Obligaciones de
Quienes Traten
determinar y proporcionar los
y
técnicos,
financieros
necesarios.
6.6.1
Política
Seguridad
Información.
de
de
la
Gestión
con
apropiada
autoridad aprobará una política
de seguridad de la información,
216
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
teniendo
en
cuenta
los
requisitos de servicio requisitos
legales y reglamentarios y las
obligaciones contractuales.
El
proveedor
deberá
Instrumentar un procedimiento para que se
atienda el riesgo para la protección de datos
24
personales por la implementación de nuevos
Art. 48 - V
productos, servicios, tecnologías y modelos
servicios
este
proceso
5 Diseño y transición
para todos los nuevos servicios
de servicios nuevos y
y cambios a los servicios con el
cambiados.
potencial de tener un impacto
Paso 5. Realizar el
importante en los servicios o la
Análisis de Riesgo
atención al cliente.
de los Datos
Personales.
de negocios, así como para mitigarlos.
utilizar
de
Incidentes de seguridad de la
6.6.3
Cambios
incidentes
Seguridad
e
de
de
la
Información.
información,
administrados
serán
mediante
los
procedimientos de gestión de
incidentes, con una apropiada
prioridad
a
los
riesgos
de
seguridad de la información.
El
6.6.2
Controles
Seguridad
Revisar
25
periódicamente
las
políticas
modificaciones que se requieran.
Art. 48 - VI
servicios
la
los controles de seguridad de
información
físicos,
administrativos y técnicos.
Paso 8. Revisiones y
Auditoría.
de
deberá implementar y operar
Información.
y
programas de seguridad para determinar las
de
proveedor
de
6.6.3
Cambios
incidentes
Seguridad
Información.
e
de
de
la
Incidentes de seguridad de la
información,
administrados
serán
mediante
los
procedimientos de gestión de
incidentes, con una apropiada
217
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
prioridad
a
los
riesgos
de
seguridad de la información.
Paso 7.
Implementación de
las Medidas de
Establecer
26
procedimientos
para
recibir
Seguridad
y
responder dudas y quejas de los titulares de
Art. 48 - VII
los datos personales.
Aplicables a los
Datos Personales.
Cumplimiento
7.1
Gestión
de
relaciones
las
de
negocio.
El
proveedor
de
servicios
deberá identificar y documentar
los clientes, usuarios y partes
interesadas de los servicios.
Cotidiano de
Medidas de
Seguridad.
Habrá
8.1
Gestión
peticiones
un
procedimiento
de
documentado para todas las
de
incidencias y para la gestión del
incidentes y servicios.
cumplimiento de las solicitudes
de servicio.
La gerencia debe proporcionar
Disponer
27
de
mecanismos
para
el
cumplimiento de las políticas y programas de
privacidad, así como de sanciones por su
incumplimiento.
evidencia de su compromiso
Paso 3. Funciones y
Art. 48 - VIII
Obligaciones de
4.1
Quienes Traten
de la Gerencia.
Datos Personales.
Responsabilidad
con la planificación, establecer,
implementar,
operar,
monitorear, revisar, mantener y
mejorar el sistema de gestión
de servicios.
218
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
El
6.6.2
Controles
Seguridad
de
proveedor
de
servicios
de
deberá implementar y operar
la
los controles de seguridad de
Información.
información
físicos,
administrativos y técnicos.
Incidentes de seguridad de la
6.6.3
Cambios
incidentes
Seguridad
e
de
de
la
Información.
información,
serán
administrados
mediante
los
procedimientos de gestión de
incidentes, con una apropiada
prioridad
a
los
riesgos
de
seguridad de la información.
Establecer medidas para el aseguramiento de
Paso 6.
los datos personales, es decir, un conjunto
28
de acciones técnicas y administrativas que
permitan garantizar al responsable el
Identificación de las
Art. 48 - IX
medidas de
seguridad y Análisis
cumplimiento de los principios y obligaciones
El
6.6.2
Controles
Seguridad
de
los controles de seguridad de
información
29
datos personales, es decir acciones, medidas
Identificación de las
y procedimientos técnicos que
permiten
rastrear a los datos personales durante su
tratamiento.
Art. 48 - X
Controles
Seguridad
de
proveedor
de
servicios
de
deberá implementar y operar
la
los controles de seguridad de
Información.
información
físicos,
administrativos y técnicos.
medidas de
Habrá
seguridad y Análisis
de Brecha.
físicos,
administrativos y técnicos.
El
Paso 6.
servicios
la
Información.
6.6.2
Establecer medidas para la trazabilidad de los
de
deberá implementar y operar
de Brecha.
que establece la Ley y su Reglamento.
proveedor
de
9.1
Gestión
Configuración.
de
la
una
definición
documentada de cada tipo de
elemento de configuración. La
información
registrada
para
cada elemento de configuración
219
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
garantizará el control.
La gerencia debe designar un
Todo responsable deberá designar a una
persona,
o
personales,
30
departamento
quien
dará
de
a
proveedor de servicios que, con
Seguridad
las
solicitudes de los titulares, para el ejercicio
miembro de la gerencia del
las Medidas de
datos
trámite
Paso 7.
Implementación de
Art. 30
de los derechos a que se refiere la Ley.
Asimismo fomentará la protección de datos
Representante
de la Gerencia.
independencia
de
responsabilidades,
otras
tiene
las
Aplicables a los
facultades y responsabilidades
Datos Personales.
que incluyen los procesos del
Cumplimiento
sistema de gestión de servicios.
Cotidiano de
personales al interior de la organización.
4.1.4
Medidas de
Seguridad.
7.1
Gestión
de
relaciones
las
de
negocio.
El
proveedor
de
servicios
deberá identificar y documentar
los clientes, usuarios y partes
interesadas de los servicios.
SEGURIDAD
Todo
responsable
tratamiento
que
datos
lleve
a
personales
Gestión
cabo
6.6.1
administrativas,
Seguridad
técnicas
proteger
los
y
físicas
datos
que
o el uso, acceso o tratamiento no autorizado.
No
adoptarán
medidas
de
Paso 6.
personales
contra daño, pérdida, alteración, destrucción
seguridad
con
apropiada
autoridad aprobará una política
deberá
establecer y mantener medidas de seguridad
permitan
31
de
Art. 19
Art. 4
Identificación de las
Art. 9
medidas de
Art. 57
seguridad y Análisis
de Brecha.
Política
de
de
la
Información.
de seguridad de la información,
teniendo
en
cuenta
los
requisitos de servicio requisitos
legales y reglamentarios y las
obligaciones contractuales.
El
6.6.2
Controles
menores a aquellas que mantengan para el
Seguridad
manejo de su información.
Información.
de
proveedor
de
servicios
de
deberá implementar y operar
la
los controles de seguridad de
información
físicos,
administrativos y técnicos.
220
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Cuando el encargado se encuentre ubicado
en territorio mexicano, le serán aplicables las
disposiciones relativas a las medidas de
seguridad contenidas en el Capítulo III de
Reglamento.
El responsable determinará las medidas de
El
seguridad aplicables a los datos personales
deberá
proveedor
utilizar
de
servicios
este
proceso
que trate, considerando el riesgo existente,
5 Diseño y transición
para todos los nuevos servicios
las posibles consecuencias para los titulares,
de servicios nuevos y
y cambios a los servicios con el
la sensibilidad de los datos y el desarrollo
cambiados.
potencial de tener un impacto
tecnológico.
importante en los servicios o la
atención al cliente.
De
manera
adicional,
el
responsable
procurará tomar en cuenta los siguientes
Paso 5. Realizar el
elementos:
32
I. El número de titulares;
Art. 19
II. Las vulnerabilidades previas ocurridas en
los sistemas de tratamiento;
III.
El
valor
Personales.
Incidentes de seguridad de la
6.6.3
Cambios
cuantitativo o cualitativo que pudieran tener
Seguridad
los datos personales tratados para una
Información.
no
el
de los Datos
incidentes
persona
por
Análisis de Riesgo
potencial
tercera
riesgo
Art. 60
autorizada
para
su
posesión, y
e
de
de
la
información,
administrados
serán
mediante
los
procedimientos de gestión de
incidentes, con una apropiada
prioridad
a
los
riesgos
de
seguridad de la información.
IV. Demás factores que puedan incidir en el
nivel de riesgo o que resulten de otras leyes
o regulación aplicable al responsable.
221
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Habrá
33
Elaborar un inventario de datos personales y
de los sistemas de tratamiento.
Paso 4. Elaborar un
Art. 61 - I
Inventario de Datos
Personales.
una
definición
documentada de cada tipo de
9.1
Gestión
de
la
Configuración.
elemento de configuración. La
información
registrada
para
cada elemento de configuración
garantizará el control.
La
4.1.2
Política
de
Gestión del Servicio.
alta
dirección
debe
asegurarse de que la política de
gestión
del
servicio
es
apropiada.
El personal del proveedor de
servicios que realice trabajos
Paso 3. Establecer
34
Determinar las funciones y obligaciones de
las personas que traten datos personales.
Funciones y
Art. 61 - II
4.4.2
Recursos
Humanos.
que afecten la conformidad con
los requisitos de servicio debe
ser competente con base en la
Obligaciones de
educación,
Quienes Traten
formación,
habilidades y experiencia.
Datos Personales.
Gestión
con
apropiada
autoridad aprobará una política
6.6.1
Política
Seguridad
de
de
la
Información.
de seguridad de la información,
teniendo
en
cuenta
los
requisitos de servicio requisitos
legales y reglamentarios y las
obligaciones contractuales.
35
Contar con un análisis de riesgos de datos
Paso 5. Realizar el
personales
Análisis de Riesgo
que
consiste
en
identificar
peligros y estimar los riesgos a los datos
personales.
Art. 61 - III
de los Datos
Personales.
6.6.1
Política
Seguridad
Información.
de
de
la
Gestión
con
apropiada
autoridad aprobará una política
de seguridad de la información,
teniendo
en
cuenta
los
222
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
requisitos de servicio requisitos
legales y reglamentarios y las
obligaciones contractuales.
El
6.6.2
Controles
Seguridad
de
proveedor
de
servicios
de
deberá implementar y operar
la
los controles de seguridad de
Información.
información
físicos,
administrativos y técnicos.
Incidentes de seguridad de la
6.6.3
Cambios
incidentes
Seguridad
e
de
de
la
Información.
información,
serán
administrados
mediante
los
procedimientos de gestión de
incidentes, con una apropiada
prioridad
a
los
riesgos
de
seguridad de la información.
El
4.5.4
Paso 6.
Establecer
36
las
medidas
de
seguridad
aplicables a los datos personales e identificar
aquéllas implementadas de manera efectiva.
Identificación de las
Art. 61 - IV
Monitoreo
y
de
utilizar
servicios
métodos
revisión del Sistema
adecuados para el seguimiento
de
y la medición del sistema de
Gestión
del
Servicio.
gestión
de
servicios
y
los
servicios.
medidas de
seguridad y Análisis
de Brecha.
proveedor
deberá
El
6.6.2
Controles
Seguridad
Información.
de
proveedor
de
servicios
de
deberá implementar y operar
la
los controles de seguridad de
información
físicos,
administrativos y técnicos.
223
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Incidentes de seguridad de la
6.6.3
Cambios
incidentes
Seguridad
e
de
de
la
Información.
información,
serán
administrados
mediante
los
procedimientos de gestión de
incidentes, con una apropiada
prioridad
a
los
riesgos
de
seguridad de la información.
Gestión
con
apropiada
autoridad aprobará una política
6.6.1
Política
Seguridad
de
de
la
Información.
de seguridad de la información,
teniendo
en
cuenta
los
requisitos de servicio requisitos
legales y reglamentarios y las
obligaciones contractuales.
37
Realizar el análisis de brecha que consiste en
Paso 6.
la diferencia de las medidas de seguridad
Identificación de las
existentes y aquéllas faltantes que resultan
necesarias para la protección de los datos
personales.
Art. 61 - V
medidas de
seguridad y Análisis
El
6.6.2
Controles
Seguridad
de
proveedor
de
servicios
de
deberá implementar y operar
la
los controles de seguridad de
Información.
información
de Brecha.
físicos,
administrativos y técnicos.
Incidentes de seguridad de la
6.6.3
Cambios
incidentes
Seguridad
Información.
e
de
de
la
información,
administrados
serán
mediante
los
procedimientos de gestión de
incidentes, con una apropiada
prioridad
a
los
riesgos
de
seguridad de la información.
224
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Gestión
con
apropiada
autoridad aprobará una política
6.6.1
Política
Seguridad
Paso 7.
de
de
la
Información.
38
de
trabajo
para
la
implementación de las medidas de seguridad
Aplicables a los
Art. 61 - VI
faltantes, derivadas del análisis de brecha.
Datos Personales.
Plan de Trabajo
El
6.6.2
Controles
Seguridad
de
proveedor
de
servicios
deberá implementar y operar
la
los controles de seguridad de
Información.
información
físicos,
administrativos y técnicos.
Implementación de
Seguridad Faltantes.
los
de
para la
las Medidas de
cuenta
obligaciones contractuales.
Seguridad
plan
en
legales y reglamentarios y las
las Medidas de
un
teniendo
requisitos de servicio requisitos
Implementación de
Elaborar
de seguridad de la información,
Incidentes de seguridad de la
6.6.3
Cambios
incidentes
Seguridad
e
de
de
la
Información.
información,
serán
administrados
mediante
los
procedimientos de gestión de
incidentes, con una apropiada
prioridad
a
los
riesgos
de
seguridad de la información.
El
4.5.4
39
Llevar a cabo revisiones o auditorías.
Art. 61 - VII
Paso 8. Revisiones y
Auditoría.
Monitoreo
y
proveedor
deberá
de
servicios
utilizar
métodos
revisión del Sistema
adecuados para el seguimiento
de
y la medición del sistema de
Gestión
del
Servicio.
gestión
de
servicios
y
los
servicios.
6.6.1
Política
Seguridad
Información.
de
de
la
Gestión
con
apropiada
autoridad aprobará una política
de seguridad de la información,
225
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
teniendo
en
cuenta
los
requisitos de servicio requisitos
legales y reglamentarios y las
obligaciones contractuales.
El
6.6.2
Controles
Seguridad
proveedor
de
servicios
de
deberá implementar y operar
la
los controles de seguridad de
de
Información.
información
físicos,
administrativos y técnicos.
La
4.1.2
Política
de
Gestión del Servicio.
alta
dirección
debe
asegurarse de que la política de
gestión
del
servicio
es
apropiada.
El personal del proveedor de
servicios que realice trabajos
Paso 9. Mejora
40
Capacitar
al
personal
que
tratamiento de datos personales.
efectúe
el
Art. 61 - VIII
Continua y
4.4.2
Recursos
Humanos.
que afecten la conformidad con
los requisitos de servicio debe
ser competente con base en la
Capacitación.
educación,
Capacitación.
habilidades y experiencia.
Gestión
formación,
con
apropiada
autoridad aprobará una política
6.6.1
Política
Seguridad
Información.
de
de
la
de seguridad de la información,
teniendo
en
cuenta
los
requisitos de servicio requisitos
legales y reglamentarios y las
obligaciones contractuales.
226
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Habrá
Paso 5. Realizar el
41
Realizar un
registro de
los medios de
almacenamiento de los datos personales.
Análisis de Riesgo
Art. 61 - IX
de los Datos
Personales.
una
definición
documentada de cada tipo de
9.1
Gestión
de
la
Configuración.
elemento de configuración. La
información
registrada
para
cada elemento de configuración
garantizará el control.
3. Acciones a
42
Contar con una relación de las medidas de
seguridad.
implementar para la
Art. 61
El
6.6.2
Controles
seguridad de los
Seguridad
datos personales
Información.
de
de
servicios
de
deberá implementar y operar
la
los controles de seguridad de
información
documentadas.
físicos,
administrativos y técnicos.
El
Actualizar las medidas de seguridad cuando:
4.5.4
43
proveedor
Monitoreo
y
proveedor
deberá
de
servicios
utilizar
métodos
I. Se modifiquen las medidas o procesos de
revisión del Sistema
adecuados para el seguimiento
seguridad para su mejora continua, derivado
de
y la medición del sistema de
de las revisiones a la política de seguridad
Servicio.
Gestión
del
gestión
de
servicios
y
los
del responsable.
servicios.
II. Se produzcan modificaciones sustanciales
Gestión
en el tratamiento que deriven en un cambio
autoridad aprobará una política
del nivel de riesgo.
Art. 62
III. Se vulneren los sistemas de tratamiento,
de conformidad con lo dispuesto en el
Paso 8. Revisiones y
Auditoría.
6.6.1
Política
Seguridad
de
de
la
Información.
con
apropiada
de seguridad de la información,
teniendo
en
cuenta
los
requisitos de servicio requisitos
artículo 20 de la Ley y 63 de su Reglamento.
legales y reglamentarios y las
IV.
obligaciones contractuales.
Exista
una
afectación
a
los
datos
personales distinta a las anteriores.
En el caso de datos personales sensibles, los
responsables procurarán revisar y, en su caso,
actualizar las relaciones correspondientes una
6.6.2
Controles
Seguridad
Información.
de
de
la
El
proveedor
de
servicios
deberá implementar y operar
los controles de seguridad de
información
físicos,
227
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
vez al año.
administrativos y técnicos.
Incidentes de seguridad de la
6.6.3
Cambios
incidentes
Seguridad
e
de
de
la
Información.
información,
administrados
serán
mediante
los
procedimientos de gestión de
incidentes, con una apropiada
prioridad
a
los
riesgos
de
seguridad de la información.
VULNERACIONES A LA SEGURIDAD
7.1
Las vulneraciones de seguridad ocurridas en
relaciones
cualquier fase del tratamiento que afecten de
negocio.
Paso 8. Revisiones y
forma significativa los derechos patrimoniales
44
Gestión
o morales de los titulares, serán informadas
de forma inmediata por el responsable al
titular, a fin de que este último pueda tomar
las medidas correspondientes a la defensa de
sus derechos.
Art. 20
Art. 63
Art. 64
de
las
de
El
proveedor
de
servicios
deberá identificar y documentar
los clientes, usuarios y partes
interesadas de los servicios.
Auditoría.
Vulneraciones a la
Seguridad de la
Información.
Incidentes de seguridad de la
6.6.3
Cambios
incidentes
Seguridad
Información.
e
de
de
la
información,
administrados
serán
mediante
los
procedimientos de gestión de
incidentes, con una apropiada
prioridad
a
los
riesgos
de
seguridad de la información.
228
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Habrá
8.1
Gestión
peticiones
un
procedimiento
de
documentado para todas las
de
incidencias y para la gestión del
incidentes y servicios.
cumplimiento de las solicitudes
de servicio.
En caso de que ocurra una vulneración a la
seguridad
de
los
datos
personales,
el
responsable deberá informar al titular al
7.1
menos lo siguiente:
relaciones
Paso 8. Revisiones y
I. La naturaleza del incidente.
45
II. Los datos personales comprometidos.
III. Las recomendaciones al titular acerca de
Gestión
de
las
de
negocio.
El
proveedor
de
servicios
deberá identificar y documentar
los clientes, usuarios y partes
interesadas de los servicios.
Auditoría.
Art. 65
Vulneraciones a la
Seguridad de la
las medidas que éste pueda adoptar para
Incidentes de seguridad de la
Información.
proteger sus intereses.
6.6.3
IV. Las acciones correctivas realizadas de
Cambios
incidentes
forma inmediata.
Seguridad
V. Los medios donde puede obtener más
e
de
de
la
Información.
información al respecto.
información,
administrados
serán
mediante
los
procedimientos de gestión de
incidentes, con una apropiada
prioridad
a
los
riesgos
de
seguridad de la información.
En caso de que ocurra una vulneración a los
datos
46
personales,
el responsable
deberá
analizar las causas por las cuales se presentó
e
implementar
las
acciones
Paso 8. Revisiones y
correctivas,
preventivas y de mejora para adecuar las
medidas de seguridad correspondientes, a
Auditoría.
Art. 66
Vulneraciones a la
Seguridad de la
Información.
Incidentes de seguridad de la
6.6.3
Cambios
incidentes
Seguridad
Información.
e
de
de
la
información,
administrados
serán
mediante
los
procedimientos de gestión de
incidentes, con una apropiada
prioridad
a
los
riesgos
de
229
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
efecto de evitar que la vulneración se repita.
seguridad de la información.
Habrá
8.2
Gestión
de
Problemas.
un
procedimiento
documentado para identificar
los problemas y minimizar o
evitar
el
impacto
de
los
incidentes y problemas.
ENCARGADO
El
encargado
tendrá
las
El
siguientes
obligaciones respecto del tratamiento que
4.2
realice por cuenta del responsable:
procesos
de
operados
por otras partes.
I. Tratar únicamente los datos personales
del
servicio
demostrar
la
gobernabilidad de los procesos
gestionados
interno,
por
un
un
cliente
grupo
o
un
proveedor,
el
conforme a las instrucciones del responsable.
proveedor.
II. Abstenerse de tratar los datos personales
Para
para finalidades distintas a las instruidas por
proveedor de servicios deberá
el responsable.
47
Gobierno
proveedor
deberá
III. Implementar las medidas de seguridad
conforme a la Ley, su Reglamento y las
Art. 50
1. Recomendación
General.
7.2
Gestión
de
proveedores.
cada
tener una persona designada
que
es
gestión
responsable
de
la
de
la
relación,
el
demás disposiciones aplicables.
contrato y el rendimiento del
IV. Guardar confidencialidad respecto de los
proveedor.
datos personales tratados.
Gestión
V. Suprimir los datos personales objeto de
6.6.1
jurídica
Seguridad
el
responsable
o
por
instrucciones del responsable, siempre y
apropiada
autoridad aprobará una política
tratamiento una vez cumplida la relación
con
con
Política
Información.
de
de
la
de seguridad de la información,
teniendo
en
cuenta
los
requisitos de servicio requisitos
cuando no exista una previsión legal que
legales y reglamentarios y las
exija la conservación de los datos personales.
obligaciones contractuales.
230
N°
Requerimiento normativo
VI.
Abstenerse
de
transferir
los
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
así
lo
cuando
así
lo
determine,
requiera
la
Descripción
El
6.6.2
la
Controles
Seguridad
comunicación derive de una subcontratación,
o
nombre
Objetivo de Control
datos
personales salvo en el caso de que el
responsable
Identificador y
de
de
servicios
deberá implementar y operar
la
los controles de seguridad de
Información.
autoridad
proveedor
de
información
físicos,
administrativos y técnicos.
competente.
SUBCONTRATACIONES
El
Paso 7.
Implementación de
La
relación
entre
el
responsable
y
el
las Medidas de
encargado deberá estar establecida mediante
48
cláusulas contractuales u otro instrumento
jurídico que decida el responsable, que
4.2
Gobierno
procesos
de
operados
por otras partes.
del
servicio
demostrar
la
gobernabilidad de los procesos
gestionados
interno,
Seguridad
Art. 51
proveedor
deberá
por
un
un
cliente
grupo
o
un
proveedor,
el
proveedor.
Aplicables a los
Para
Datos Personales.
cada
proveedor de servicios deberá
permita acreditar su existencia, alcance y
Cumplimiento
contenido.
Cotidiano de
7.2
Medidas de
proveedores.
Gestión
de
tener una persona designada
que
es
gestión
Seguridad.
responsable
de
la
de
la
relación,
el
contrato y el rendimiento del
proveedor.
Toda subcontratación de servicios por parte
Paso 7.
del encargado que implique el tratamiento
49
Implementación de
de datos personales deberá ser autorizada
Art. 54
las Medidas de
por el responsable, y se realizará en nombre
Art. 55
Seguridad
y por cuenta de este último.
Una
vez
obtenida
la
Aplicables a los
autorización,
el
Datos Personales.
El
4.2
Gobierno
procesos
de
operados
por otras partes.
proveedor
deberá
del
servicio
demostrar
la
gobernabilidad de los procesos
gestionados
interno,
un
por
un
cliente
grupo
o
un
proveedor.
231
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
encargado deberá formalizar la relación con
Cumplimiento
el
cláusulas
Cotidiano de
contractuales u otro instrumento jurídico que
subcontratado
a
través
de
Medidas de
permita acreditar su existencia, alcance y
Seguridad.
Identificador y
nombre
Descripción
Objetivo de Control
Para
contenido.
En caso de que la subcontratación no haya
7.2
sido prevista en cláusulas contractuales, el
correspondiente
del
Gestión
de
proveedores.
encargado deberá obtener la autorización
obligación
proveedor,
el
tener una persona designada
que
es
gestión
responsable
responsable
de
la
de
la
relación,
el
contrato y el rendimiento del
previamente.
La
cada
proveedor de servicios deberá
proveedor.
de
acreditar
que
la
subcontratación se realizó con autorización
del responsable corresponderá al encargado.
CÓMPUTO EN LA NUBE
Para el tratamiento de datos personales en
El
servicios, aplicaciones e infraestructura en el
deberá
Paso 7.
denominado cómputo en la nube, en los que
Implementación de
el responsable se adhiera a los mismos
las Medidas de
mediante condiciones o cláusulas generales
servicios en los que el proveedor cumpla, al
menos, con lo siguiente:
a) Tener y aplicar políticas de protección de
datos personales afines a los principios y
deberes aplicables que establece la Ley y su
Reglamento;
Gobierno
procesos
de
operados
por otras partes.
Art. 52 - I
servicio
la
gobernabilidad de los procesos
gestionados
un
por
un
cliente
grupo
o
un
proveedor,
el
proveedor.
Aplicables a los
Para
Datos Personales.
cada
proveedor de servicios deberá
Cumplimiento
Cotidiano de
7.2
Medidas de
proveedores.
Seguridad.
del
demostrar
interno,
Seguridad
de contratación, sólo podrá utilizar aquellos
50
4.2
proveedor
Gestión
de
tener una persona designada
que
es
gestión
responsable
de
la
de
la
relación,
el
contrato y el rendimiento del
proveedor.
232
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Gestión
b) Transparentar las subcontrataciones que
con
apropiada
autoridad aprobará una política
involucren la información sobre la que se
6.6.1
Política
presta el servicio;
Seguridad
de
de
la
Información.
de seguridad de la información,
teniendo
en
cuenta
los
requisitos de servicio requisitos
c) Abstenerse de incluir condiciones en la
legales y reglamentarios y las
prestación del servicio que le autoricen o
obligaciones contractuales.
permitan asumir la titularidad o propiedad de
la información sobre la que presta el servicio,
El
y
6.6.2
Controles
Seguridad
d) Guardar confidencialidad respecto de los
de
proveedor
de
servicios
de
deberá implementar y operar
la
los controles de seguridad de
Información.
información
datos personales sobre los que se preste el
físicos,
administrativos y técnicos.
servicio.
51
Para el tratamiento de datos personales en
Paso 7.
servicios, aplicaciones e infraestructura en el
Implementación de
denominado cómputo en la nube, en los que
el responsable se adhiera a los mismos
Art. 52 - II
las Medidas de
Seguridad
mediante condiciones o cláusulas generales
Aplicables a los
de contratación, sólo podrá utilizar aquellos
Datos Personales.
El
4.2
Gobierno
procesos
de
operados
por otras partes.
proveedor
deberá
del
servicio
demostrar
la
gobernabilidad de los procesos
gestionados
interno,
un
por
un
cliente
grupo
o
un
proveedor.
233
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
servicios en los que el proveedor cuente con
Cumplimiento
mecanismos, al menos, para:
Cotidiano de
Para
Medidas de
proveedor de servicios deberá
a) Dar a conocer cambios en sus políticas de
Seguridad.
privacidad o condiciones del servicio que
7.2
Gestión
de
proveedores.
presta;
cada
proveedor,
el
tener una persona designada
que
es
gestión
responsable
de
la
de
la
relación,
el
contrato y el rendimiento del
b) Permitir al responsable limitar el tipo de
proveedor.
tratamiento de los datos personales sobre los
que se presta el servicio;
Gestión
con
apropiada
autoridad aprobará una política
c)
Establecer
y
mantener
medidas
de
6.6.1
Política
seguridad adecuadas para la protección de
Seguridad
los datos personales sobre los que se preste
Información.
de
de
la
de seguridad de la información,
teniendo
en
cuenta
los
requisitos de servicio requisitos
el servicio;
legales y reglamentarios y las
obligaciones contractuales.
d) Garantizar la supresión de los datos
personales una vez que haya concluido el
servicio prestado al responsable, y que este
último haya podido recuperarlos, y
El
6.6.2
Controles
e) Impedir el acceso a los datos personales a
Seguridad
personas que no cuenten con privilegios de
Información.
acceso, o bien en caso de que sea a solicitud
fundada
y
competente,
motivada
informar
de
de
autoridad
ese
hecho
de
proveedor
de
servicios
de
deberá implementar y operar
la
los controles de seguridad de
información
físicos,
administrativos y técnicos.
al
responsable.
TRANSFERENCIAS
234
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Cuando el responsable pretenda transferir los
datos personales a terceros nacionales o
52
extranjeros, distintos del encargado, deberá
Paso 7.
comunicar a éstos el aviso de privacidad y las
Implementación de
finalidades a las que el titular sujetó su
las Medidas de
tratamiento.
Art. 68
Seguridad
El tratamiento de los datos se hará conforme
Art. 71
Aplicables a los
Art. 72
Datos Personales.
Art. 74
Cumplimiento
a lo convenido en el aviso de privacidad, el
cual contendrá una cláusula en la que se
indique
si
el
la
Cotidiano de
transferencia de sus datos, de igual manera,
Medidas de
el tercero receptor, asumirá las mismas
Seguridad.
obligaciones
titular
que
acepta
o
no
Art. 36
correspondan
7.1
Gestión
de
relaciones
las
de
negocio.
El
proveedor
de
servicios
deberá identificar y documentar
los clientes, usuarios y partes
interesadas de los servicios.
al
responsable que transfirió los datos.
El
Paso 7.
Para
efectos
transferencia,
de
demostrar
sea
ésta
que
la
nacional
o
Implementación de
las Medidas de
Seguridad
internacional, se realiza conforme a lo que
53
establece la Ley y su Reglamento, la carga de
la prueba recaerá, en todos los casos, en el
responsable que transfiere y en el receptor
de los datos personales.
Art. 69
4.2
Gobierno
procesos
de
operados
por otras partes.
del
servicio
demostrar
la
gobernabilidad de los procesos
gestionados
interno,
un
por
un
cliente
grupo
o
un
proveedor.
Aplicables a los
Datos Personales.
Se deberán mantener registros
Cumplimiento
Cotidiano de
4.3.3
Medidas de
registros.
Seguridad.
proveedor
deberá
Control
de
para demostrar la conformidad
con los requisitos así como el
buen
funcionamiento
del
sistema de gestión de servicios.
235
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Para
cada
proveedor,
el
proveedor de servicios deberá
7.2
Gestión
de
proveedores.
tener una persona designada
que
es
gestión
responsable
de
la
de
la
relación,
el
contrato y el rendimiento del
proveedor.
En
el caso de
transferencias
de
datos
personales entre sociedades controladoras,
Gestión
subsidiarias o afiliadas bajo el control común
del mismo grupo del responsable, o a una
6.6.1
sociedad matriz o a cualquier sociedad del
de
de
la
Información.
para garantizar que el receptor de los datos
personales cumplirá con las disposiciones
Política
Seguridad
mismo grupo del responsable, el mecanismo
54
con
apropiada
autoridad aprobará una política
Art. 70
previstas en la Ley, su Reglamento y demás
de seguridad de la información,
teniendo
en
cuenta
los
requisitos de servicio requisitos
legales y reglamentarios y las
1. Recomendación
obligaciones contractuales.
General
normativa aplicable, podrá ser la existencia
El
de normas internas de protección de datos
personales cuya observancia sea vinculante,
6.6.2
siempre y cuando éstas cumplan con lo
Seguridad
establecido en la Ley, su
Información.
Reglamento y
Controles
de
transferencia
deberá
formalizarse
deberá implementar y operar
la
los controles de seguridad de
información
Paso 7.
Implementación de
demostrar que el responsable transferente
Art. 73
las Medidas de
comunicó
Art. 75
Seguridad
al
responsable
servicios
físicos,
administrativos y técnicos.
mediante algún mecanismo que permita
55
de
de
demás normativa aplicable.
La
proveedor
receptor
las
condiciones en las que el titular consintió el
tratamiento de sus datos personales.
Aplicables a los
Datos Personales.
El
4.2
Gobierno
procesos
de
operados
por otras partes.
proveedor
deberá
del
servicio
demostrar
la
gobernabilidad de los procesos
gestionados
interno,
un
por
un
cliente
grupo
o
un
proveedor.
236
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Cumplimiento
Para
Cotidiano de
proveedor de servicios deberá
Medidas de
Seguridad.
7.2
Gestión
proveedores.
de
cada
proveedor,
el
tener una persona designada
que
es
gestión
responsable
de
la
de
la
relación,
el
contrato y el rendimiento del
proveedor.
237
4.8 ISO 22301:2012 Societal security - Business continuity management systems – Requirements.
Introducción. Este estándar especifica los requerimientos para planear, establecer, implementar, operar, supervisar,
revisar, mantener, y mejorar de forma continua un sistema documentado de gestión para la protección contra eventos
disruptivos en la organización.
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
RESPONSABLE
Factores internos y externos de
4
Contexto
Organización.
de
la
la organización que afectan la
implementación y operación de
un sistema de gestión de la
continuidad del negocio.
Compromiso de la organización
para
Los responsables en el tratamiento de datos
5 Liderazgo.
personales, deberán observar los principios
1
de
licitud,
consentimiento,
información,
calidad, finalidad, lealtad, proporcionalidad y
Art. 6
Art. 9
la
implementación
y
operación de un sistema de
gestión de la continuidad del
1. Recomendación
negocio.
General.
Establecimiento de objetivos de
responsabilidad, previstos en la Ley.
6 Planeación.
la continuidad del negocio y
planeación de acciones para
alcanzarlos.
Componentes necesarios para
7 Soporte.
la
implementación
sistema
de
de
gestión
un
de
la
continuidad del negocio.
238
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Procesos
necesarios
para
la
operación de un sistema de
8 Operación.
gestión de la continuidad del
negocio.
Actividades para el monitoreo,
9
Evaluación
desempeño.
de
medición, análisis, y evaluación
del desempeño de un sistema
de gestión de la continuidad
del negocio.
Atención de no conformidades
10 Mejora.
del sistema de gestión de la
continuidad del negocio para
su mejora continua.
LICITUD Y LEALTAD
Los datos personales deberán recabarse y
tratarse de manera lícita, privilegiando la
protección de los intereses del titular y la
expectativa
2
razonable
de
privacidad,
sin
importar la fuente de la que se obtienen los
datos.
Art. 7
Art. 7
Art. 10
Art. 44
Paso 1. Alcance y
Objetivos.
NO APLICA
NO APLICA
La obtención de datos personales no debe
hacerse a través de medios engañosos o
fraudulentos.
CONSENTIMIENTO
239
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
El tratamiento de datos personales estará
sujeto al consentimiento de su titular, salvo
las excepciones previstas por la Ley.
Los
3
datos
financieros
o
patrimoniales
requerirán consentimiento expreso de su
titular.
Art. 11
Art. 8
Art. 12
Art. 15
Paso 2. Política de
Gestión de Datos
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Personales.
Cuando los datos personales se obtengan
personalmente o de manera directa de su
titular, el consentimiento deberá ser previo al
tratamiento.
El responsable deberá facilitar al titular
4
medios sencillos y gratuitos para manifestar
Paso 2. Política de
Art. 8
Art. 16
su consentimiento expreso.
Gestión de Datos
Personales.
Tratándose de datos personales sensibles, el
responsable
deberá
obtener
el
consentimiento expreso y por escrito del
titular
para
su
tratamiento.
Paso 2. Política de
5
No podrán crearse bases de datos que
Art. 9
Art. 56
contengan datos personales sensibles, sin
Gestión de Datos
Personales.
que se justifique la creación de las mismas
para
finalidades
legítimas,
concretas
y
acordes con las actividades o fines explícitos
que persigue el sujeto regulado.
6
Para efectos de demostrar la obtención del
consentimiento,
la
carga
de
la
prueba
Art. 20
Paso 7.
Implementación de
240
N°
Requerimiento normativo
recaerá,
en
todos
los
casos,
en
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
el
Identificador y
nombre
Descripción
Objetivo de Control
las Medidas de
responsable.
Seguridad
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
INFORMACIÓN
A
través
del
aviso
de
privacidad,
el
responsable tendrá la obligación de informar
a los titulares, los datos que recaba, las
finalidades necesarias y las que no lo son
para
la
relación
jurídica,
así
como
las
características principales de su tratamiento.
7
Cuando se traten datos personales como
Art. 14
Paso 2. Política de
parte de un proceso de toma de decisiones
Art. 23
Gestión de Datos
Art. 112
Personales.
sin que intervenga la valoración de una
persona
física,
el
responsable
Art. 15
NO APLICA
NO APLICA
NO APLICA
NO APLICA
deberá
informar al titular que esta situación ocurre.
Si obtiene los datos de manera automática,
deberá informar al titular sobre el uso de
estas tecnologías y la forma en que podrá
deshabilitarlas.
Cuando los datos personales sean obtenidos
8
directamente
del
titular,
el
aviso
de
privacidad debe ponerse a disposición de los
Art. 3, I
Art. 17
Art. 27
Paso 7.
Implementación de
241
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
titulares a través de formatos impresos,
las Medidas de
digitales, visuales, sonoros o cualquier otra
Seguridad
tecnología.
Identificador y
nombre
Descripción
Objetivo de Control
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
Paso 7.
El aviso de privacidad
debe contener un
mecanismo,
el
para
que
titular
Implementación de
las Medidas de
pueda
manifestar su negativa al tratamiento de sus
9
datos
personales.
Cuando
los
datos
se
obtengan de manera indirecta del titular, el
Art. 14
Art. 18
Art. 29
Art. 32
responsable deberá darle a conocer el aviso
Seguridad
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Cumplimiento
Cotidiano de
de privacidad y sus cambios.
Medidas de
Seguridad
Paso 7.
Implementación de
Para efectos de demostrar la puesta a
disposición
10
del
aviso
de
privacidad
cumplimiento del principio de información, la
carga de la prueba recaerá, en todos los
casos, en el responsable.
las Medidas de
en
Seguridad
Art. 31
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
242
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Seguridad.
CALIDAD
El responsable procurará que los datos
Documentación requerida y su
personales contenidos en las bases de datos
11
sean
exactos,
completos,
pertinentes,
correctos y actualizados según se requiera
Paso 2. Política de
Art. 11
Art. 36
Gestión de Datos
Personales.
para el cumplimiento de la finalidad para la
7.5
Información
documentada.
manejo de conformidad con los
requerimientos del sistema de
gestión
de
continuidad
del
negocio.
cual son tratados.
Cuando los datos de carácter personal hayan
dejado
de
ser
necesarios
para
el
cumplimiento de las finalidades previstas por
el aviso de privacidad y las disposiciones
legales aplicables, deberán ser cancelados,
previo bloqueo de los mismos.
12
Art. 3 III
El responsable de la base de datos estará
obligado a eliminar la información relativa al
incumplimiento
de
Art. 11
Paso 2. Política de
Art. 37
Gestión de Datos
Personales.
6.2
Objetivos
continuidad
de
Establecimiento de objetivos de
del
continuidad
del
negocio
así
negocio y planes para
como de responsables para su
alcanzarlos.
consecución.
obligaciones
contractuales, una vez que transcurra un
plazo de setenta y dos meses, contado a
partir de la fecha calendario en que se
presente el mencionado incumplimiento.
243
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Documentación requerida y su
7.5
El responsable establecerá y documentará
13
Paso 2. Política de
procedimientos para la conservación y, en su
Art. 38
caso, bloqueo y supresión de los datos
documentada.
manejo de conformidad con los
requerimientos del sistema de
gestión
de
continuidad
del
negocio.
Gestión de Datos
Personales.
personales.
Información
8.3
Estrategia
continuidad
de
del
negocio.
Requerimientos y aspectos para
la
determinación
de
la
estrategia de continuidad del
negocio.
Paso 7.
Implementación de
las Medidas de
Seguridad
Al responsable le corresponde demostrar que
14
Aplicables a los
los datos personales se conservan, o en su
Art. 39
caso, bloquean, suprimen o cancelan.
Datos Personales.
Cumplimiento
Documentación requerida y su
7.5
Información
documentada.
Cotidiano de
manejo de conformidad con los
requerimientos del sistema de
gestión
de
continuidad
del
negocio.
Medidas de
Seguridad.
FINALIDAD
El tratamiento de datos personales deberá
limitarse al cumplimiento de las finalidades
previstas en el aviso de privacidad.
15
Si el responsable pretende tratar los datos
para un fin distinto al establecido, deberá
Art. 12
Art. 40
Paso 2. Política de
Art. 42
Gestión de Datos
Art. 43
Personales.
NO APLICA
NO APLICA
obtener nuevamente el consentimiento del
titular.
244
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
El titular podrá oponerse o revocar su
consentimiento para las finalidades distintas
a las que dieron origen a la relación jurídica,
sin que ello tenga como consecuencia la
conclusión del tratamiento.
PROPORCIONALIDAD
El tratamiento de datos personales será el
que resulte necesario, adecuado y relevante
en relación con las finalidades previstas en el
16
aviso de privacidad. En particular para datos
Art. 13
personales sensibles, el responsable deberá
Art. 45
Art. 46
Paso 2. Política de
Gestión de Datos
NO APLICA
NO APLICA
Personales.
limitar el periodo de tratamiento al mínimo
indispensable.
CONFIDENCIALIDAD
Actividades
El responsable o terceros que intervengan en
17
respecto de éstos, obligación que subsistirá
el
de
las
entendimiento
cualquier fase del tratamiento de datos
personales deberán guardar confidencialidad
para
Paso 2. Política de
Art. 21
Art. 9
Gestión de Datos
Personales.
aun después de finalizar sus relaciones con el
4.2 Entendimiento de
necesidades y expectativas de
las
las partes interesadas en el
necesidades
expectativas
de
y
las
partes interesadas.
sistema
de
continuidad
titular o, en su caso, con el responsable.
gestión
del
de
negocio
incluyendo
aspectos
regulatorios y legales.
RESPONSABILIDAD
El responsable tiene la obligación de velar y
18
responder por el tratamiento de los datos
personales en su posesión, debiendo adoptar
las medidas necesarias.
Paso 2. Política de
Art. 14
Art. 47
Gestión de Datos
Personales.
8.4 Establecimiento e
Procedimientos
implementación
de
características
procedimientos
de
implementación
continuidad
del
objetivos
y
y
sus
para
la
de
los
planes
de
245
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
negocio.
continuidad del negocio.
El responsable deberá tomar las medidas
necesarias y suficientes para garantizar que el
aviso de privacidad dado a conocer al titular,
sea respetado en todo momento por él o
por terceros con los que guarde alguna
relación jurídica.
Características de los procesos
8.2
Los responsables deberán adoptar medidas
19
para
garantizar
el
debido
tratamiento,
privilegiando los intereses del titular y la
Paso 5. Realizar el
Art. 14
Art. 48
expectativa razonable de privacidad.
Análisis
de
Personales.
20
obligatorios y exigibles al interior de la
Art. 48 - I
Poner
21
en
práctica
un
programa
de
personal
sobre
las
obligaciones
materia de protección de datos personales.
en
Art. 48 - II
Capacitación.
Capacitación.
con
negocio.
8.4 Establecimiento e
Procedimientos
implementación
de
características
procedimientos
de
implementación
continuidad
del
objetivos
5.3 Política.
y
y
sus
para
la
de
los
planes
de
continuidad del negocio
Aspectos
fundamentales
que
debe contener la política de
continuidad del negocio de la
organización.
Concientización de todos los
Paso 9. Mejora
Continua y
riesgo
y
respecto a la continuidad del
Personales.
capacitación, actualización, y concientización
del
Gestión de Datos
del
impacto
evaluación
Paso 2. Política de
organización.
de
evaluación del riesgo.
negocio.
Elaborar políticas y programas de privacidad
análisis
impacto al negocio y
Análisis de Riesgo
de los Datos
de
responsables de la organización
7.3 Concientización.
para cumplir con los objetivos y
planes
de
continuidad
del
negocio.
246
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Aspectos a considerar para el
intercambio
de
información
relacionada con el sistema de
7.4 Comunicación.
gestión
de
negocio
continuidad
con
las
del
partes
interesadas.
Aspectos
9.1
Monitoreo,
medición,
análisis
y
evaluación.
Establecer
22
un
sistema
de
supervisión
externas para comprobar el cumplimiento de
a
considerarse en los procesos de
monitoreo, medición, análisis, y
evaluación del desempeño del
sistema
de
gestión
de
continuidad del negocio.
y
vigilancia interna, verificaciones o auditorías
específicos
Art. 48 - III
Paso 8. Revisiones y
Auditoría.
las políticas de privacidad.
Consideraciones para llevar a
9.2 Auditoría interna.
cabo la auditoría interna del
sistema
de
gestión
de
continuidad del negocio.
Actividades y elementos de la
9.3 Revisión gerencial.
revisión gerencial al sistema de
gestión
de
continuidad
del
negocio.
Componentes necesarios para
Paso 3. Establecer
23
Destinar recursos para la instrumentación de
los programas y políticas de privacidad.
7 Soporte.
Funciones y
Art. 48 - IV
implementación
sistema
de
de
gestión
un
de
la
continuidad del negocio.
Obligaciones de
Identificación
Quienes Traten
Datos Personales.
la
7.1 Recursos.
necesarios
de
recursos
para
la
implementación del sistema de
gestión
de
continuidad
del
247
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
negocio.
Instrumentar un procedimiento para que se
Paso 5. Realizar el
atienda el riesgo para la protección de datos
24
personales por la implementación de nuevos
Art. 48 - V
productos, servicios, tecnologías y modelos
Análisis de Riesgo
de los Datos
Personales.
de negocios, así como para mitigarlos.
Características de los procesos
8.2
Análisis
de
de
análisis
de
del
evaluación
evaluación del riesgo.
respecto a la continuidad del
25
las
políticas
9.1
Monitoreo,
medición,
análisis
y
específicos
a
considerarse en los procesos de
monitoreo, medición, análisis, y
evaluación del desempeño del
sistema
de
gestión
de
continuidad del negocio.
y
programas de seguridad para determinar las
con
negocio.
evaluación.
periódicamente
riesgo
y
impacto al negocio y
Aspectos
Revisar
impacto
Art. 48 - VI
modificaciones que se requieran.
Paso 8. Revisiones y
Auditoría.
Consideraciones para llevar a
9.2 Auditoría interna.
cabo la auditoría interna del
sistema
de
gestión
de
continuidad del negocio.
Actividades y elementos de la
9.3 Revisión gerencial.
revisión gerencial al sistema de
gestión
de
continuidad
del
negocio.
Paso 7.
Establecer
26
procedimientos
para
recibir
responder dudas y quejas de los titulares de
los datos personales.
Implementación de
y
Art. 48 - VII
las Medidas de
Seguridad
NO APLICA
NO APLICA
Aplicables a los
Datos Personales.
248
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
Responsabilidades
5.1
Disponer
27
de
mecanismos
para
el
cumplimiento de las políticas y programas de
privacidad, así como de sanciones por su
Paso 3. Funciones y
Art. 48 - VIII
incumplimiento.
Liderazgo
y
compromiso.
organización
objetivos
para
y
en
la
lograr
los
planes
Obligaciones de
continuidad del negocio.
Quienes Traten
Responsabilidades
Datos Personales.
5.2
Compromiso
gerencial.
gerencia
para
objetivos
y
de
de
la
lograr
los
planes
de
continuidad del negocio.
8.3
Establecer medidas para el aseguramiento de
Paso 6.
los datos personales, es decir, un conjunto
28
de acciones técnicas y administrativas que
permitan garantizar al responsable el
Identificación de las
Art. 48 - IX
cumplimiento de los principios y obligaciones
que establece la Ley y su Reglamento.
medidas de
Estrategia
continuidad
de
del
negocio.
implementación
de
características
de Brecha.
procedimientos
de
implementación
continuidad
del
objetivos
datos personales, es decir acciones, medidas
Identificación de las
rastrear a los datos personales durante su
tratamiento.
Art. 48 - X
medidas de
seguridad y Análisis
de Brecha.
8.3
Estrategia
continuidad
de
la
negocio.
seguridad y Análisis
Paso 6.
permiten
determinación
estrategia de continuidad del
Procedimientos
Establecer medidas para la trazabilidad de los
y procedimientos técnicos que
la
8.4 Establecimiento e
negocio.
29
Requerimientos y aspectos para
y
y
sus
para
la
de
los
planes
de
continuidad del negocio.
de
del
negocio.
Requerimientos y aspectos para
la
determinación
de
la
estrategia de continuidad del
negocio.
8.4 Establecimiento e
Procedimientos
implementación
de
características
procedimientos
de
implementación
y
sus
para
la
de
los
249
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
continuidad
del
negocio.
objetivos
y
planes
de
continuidad del negocio.
Paso 7.
Implementación de
Todo responsable deberá designar a una
persona,
o
personales,
30
departamento
quien
dará
de
las Medidas de
datos
trámite
a
Seguridad
las
solicitudes de los titulares, para el ejercicio
Aplicables a los
Art. 30
Datos Personales.
de los derechos a que se refiere la Ley.
Cumplimiento
Asimismo fomentará la protección de datos
5.4
Roles,
responsabilidades,
y
Asignación y comunicación de
responsabilidades y autoridades
autoridades
dentro del sistema de gestión
organizacionales.
de continuidad del negocio.
Cotidiano de
personales al interior de la organización.
Medidas de
Seguridad.
SEGURIDAD
Todo
responsable
tratamiento
de
que
datos
lleve
a
personales
cabo
8.3
deberá
continuidad
establecer y mantener medidas de seguridad
administrativas,
permitan
técnicas
proteger
los
y
físicas
datos
personales
o el uso, acceso o tratamiento no autorizado.
No
adoptarán
medidas
de
seguridad
menores a aquellas que mantengan para el
manejo de su información.
de
del
negocio.
que
Requerimientos y aspectos para
la
determinación
de
la
estrategia de continuidad del
negocio.
Paso 6.
contra daño, pérdida, alteración, destrucción
31
Estrategia
Art. 19
Art. 4
Identificación de las
Art. 9
medidas de
Art. 57
8.4 Establecimiento e
Procedimientos
seguridad y Análisis
implementación
de
características
de Brecha.
procedimientos
de
implementación
continuidad
del
objetivos
negocio.
y
y
sus
para
la
de
los
planes
de
continuidad del negocio.
Cuando el encargado se encuentre ubicado
en territorio mexicano, le serán aplicables las
250
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
disposiciones relativas a las medidas de
seguridad contenidas en el Capítulo III de
Reglamento.
El responsable determinará las medidas de
Determinación de las acciones a
seguridad aplicables a los datos personales
6.1
para
llevar a cabo para abordar los
que trate, considerando el riesgo existente,
abordar los riesgos y
Acciones
riesgos y áreas de oportunidad
las posibles consecuencias para los titulares,
las oportunidades.
de continuidad del negocio en
la sensibilidad de los datos y el desarrollo
la organización.
tecnológico.
De
manera
6.2
adicional,
el
continuidad
responsable
Paso 5. Realizar el
elementos:
I. El número de titulares;
Art. 19
II. Las vulnerabilidades previas ocurridas en
los sistemas de tratamiento;
III.
El
riesgo
por
el
valor
potencial
de
de
negocio y planes para
procurará tomar en cuenta los siguientes
32
Objetivos
Art. 60
alcanzarlos.
Personales.
8.3
Estrategia
continuidad
de
del
negocio.
tercera
persona
no
autorizada
para
su
posesión, y
IV. Demás factores que puedan incidir en el
nivel de riesgo o que resulten de otras leyes
o regulación aplicable al responsable.
la organización y determinación
de
acciones
y
Requerimientos y aspectos para
la
determinación
de
la
estrategia de continuidad del
8.4 Establecimiento e
Procedimientos
implementación
de
características
procedimientos
de
implementación
continuidad
del
objetivos
negocio.
responsables
negocio.
cuantitativo o cualitativo que pudieran tener
los datos personales tratados para una
de continuidad de negocio de
para lograr dichos objetivos.
Análisis de Riesgo
de los Datos
Establecimiento de los objetivos
y
y
sus
para
la
de
los
planes
de
continuidad del negocio.
251
N°
33
Requerimiento normativo
Elaborar un inventario de datos personales y
de los sistemas de tratamiento.
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Art. 61 - I
Identificador y
nombre
Descripción
Objetivo de Control
8.4 Establecimiento e
Procedimientos
Paso 4. Elaborar un
implementación
de
características
Inventario de Datos
procedimientos
de
implementación
continuidad
del
objetivos
Personales.
negocio.
Paso 3. Establecer
34
Determinar las funciones y obligaciones de
las personas que traten datos personales.
Funciones y
Art. 61 - II
Obligaciones de
Quienes Traten
Datos Personales.
Contar con un análisis de riesgos de datos
35
personales
que
consiste
en
identificar
peligros y estimar los riesgos a los datos
Paso 5. Realizar el
Art. 61 - III
personales.
Análisis de Riesgo
de los Datos
Personales.
5.4
Paso 6.
36
las
medidas
de
seguridad
aplicables a los datos personales e identificar
Identificación de las
Art. 61 - IV
aquéllas implementadas de manera efectiva.
Realizar el análisis de brecha que consiste en
37
la diferencia de las medidas de seguridad
existentes y aquéllas faltantes que resultan
necesarias para la protección de los datos
medidas de
Roles,
y
la
de
los
planes
de
Asignación y comunicación de
responsabilidades y autoridades
autoridades
dentro del sistema de gestión
organizacionales.
de continuidad del negocio.
Características de los procesos
8.2
Análisis
de
de
análisis
de
del
impacto
riesgo
evaluación
evaluación del riesgo.
respecto a la continuidad del
con
negocio.
Estrategia
continuidad
de
del
negocio.
Requerimientos y aspectos para
la
determinación
de
la
estrategia de continuidad del
negocio.
8.4 Establecimiento e
Procedimientos
implementación
de
características
de Brecha.
procedimientos
de
implementación
continuidad
del
objetivos
y
y
la
de
los
planes
de
continuidad del negocio.
8.4 Establecimiento e
Procedimientos
Identificación de las
implementación
de
características
medidas de
procedimientos
de
implementación
continuidad
del
objetivos
y
sus
para
negocio.
seguridad y Análisis
y
impacto al negocio y
seguridad y Análisis
Paso 6.
Art. 61 - V
sus
continuidad del negocio.
responsabilidades,
8.3
Establecer
y
y
para
y
sus
para
la
de
los
planes
de
252
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
personales.
de Brecha.
Paso 7.
Implementación de
Identificador y
nombre
Descripción
Objetivo de Control
negocio.
continuidad del negocio.
Acciones
10 Mejora.
Elaborar
38
un
plan
de
trabajo
para
la
implementación de las medidas de seguridad
Aplicables a los
Art. 61 - VI
faltantes, derivadas del análisis de brecha.
Datos Personales.
Manejo de no conformidades
10.1 No conformidad
detectadas en el sistema de
y acciones correctivas.
gestión
de
implementación
10.2 Mejora continua.
al
sistema
de
gestión
continuidad
del
de
negocio.
a
Monitoreo,
considerarse en los procesos de
medición,
análisis
monitoreo, medición, análisis, y
y
evaluación del desempeño del
sistema
de
gestión
de
continuidad del negocio.
Paso 8. Revisiones y
Auditoría.
específicos
9.1
evaluación.
Art. 61 - VII
de
correcciones
Aspectos
Llevar a cabo revisiones o auditorías.
del
Proceso de mejora continua e
Seguridad Faltantes.
39
continuidad
negocio.
para la
las Medidas de
mejora
de continuidad del negocio.
Plan de Trabajo
Implementación de
la
continua del sistema de gestión
las Medidas de
Seguridad
para
Consideraciones para llevar a
9.2 Auditoría interna.
cabo la auditoría interna del
sistema
de
gestión
de
continuidad del negocio.
Actividades y elementos de la
9.3 Revisión gerencial.
revisión gerencial al sistema de
gestión
de
continuidad
del
253
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
negocio.
Concientización de todos los
responsables de la organización
7.3 Concientización.
para cumplir con los objetivos y
planes
Paso 9. Mejora
40
Capacitar
al
personal
que
efectúe
el
tratamiento de datos personales.
Art. 61 - VIII
de
continuidad
del
negocio.
Continua y
Aspectos a considerar para el
Capacitación.
intercambio
Capacitación.
de
información
relacionada con el sistema de
7.4 Comunicación.
gestión
de
negocio
continuidad
del
con
las
partes
y
sus
interesadas.
41
Realizar un
registro de
los medios de
almacenamiento de los datos personales.
Art. 61 - IX
Paso 5. Realizar el
8.4 Establecimiento e
Procedimientos
Análisis de Riesgo
implementación
de
características
de los Datos
procedimientos
de
implementación
continuidad
del
objetivos
Personales.
negocio.
3. Acciones a
42
Contar con una relación de las medidas de
seguridad.
Art. 61
8.4 Establecimiento e
Procedimientos
implementar para la
implementación
de
características
seguridad de los
procedimientos
de
implementación
datos personales
continuidad
del
objetivos
documentadas.
negocio.
43
seguridad para su mejora continua, derivado
de las revisiones a la política de seguridad
del responsable.
y
Art. 62
Auditoría.
9.1
Monitoreo,
medición,
análisis
evaluación.
los
planes
de
y
sus
para
la
de
los
planes
de
continuidad del negocio.
Aspectos
Paso 8. Revisiones y
la
de
continuidad del negocio.
Actualizar las medidas de seguridad cuando:
I. Se modifiquen las medidas o procesos de
y
para
y
específicos
a
considerarse en los procesos de
monitoreo, medición, análisis, y
evaluación del desempeño del
sistema
de
gestión
de
continuidad del negocio.
254
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
II. Se produzcan modificaciones sustanciales
Consideraciones para llevar a
en el tratamiento que deriven en un cambio
9.2 Auditoría interna.
del nivel de riesgo.
III. Se vulneren los sistemas de tratamiento,
cabo la auditoría interna del
sistema
de
gestión
de
continuidad del negocio.
de conformidad con lo dispuesto en el
artículo 20 de la Ley y 63 de su Reglamento.
IV.
Exista
una
afectación
a
los
datos
Actividades y elementos de la
personales distinta a las anteriores.
9.3 Revisión gerencial.
En el caso de datos personales sensibles, los
responsables procurarán revisar y, en su caso,
revisión gerencial al sistema de
gestión
de
continuidad
del
negocio.
actualizar las relaciones correspondientes una
vez al año.
VULNERACIONES A LA SEGURIDAD
Las vulneraciones de seguridad ocurridas en
cualquier fase del tratamiento que afecten de
Paso 8. Revisiones y
forma significativa los derechos patrimoniales
44
o morales de los titulares, serán informadas
de forma inmediata por el responsable al
Art. 20
Art. 63
Art. 64
titular, a fin de que este último pueda tomar
Auditoría.
Vulneraciones a la
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Seguridad de la
Información.
las medidas correspondientes a la defensa de
sus derechos.
En caso de que ocurra una vulneración a la
seguridad
de
los
datos
personales,
el
Paso 8. Revisiones y
responsable deberá informar al titular al
45
menos lo siguiente:
Auditoría.
Art. 65
Vulneraciones a la
Seguridad de la
I. La naturaleza del incidente.
Información.
II. Los datos personales comprometidos.
255
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
III. Las recomendaciones al titular acerca de
las medidas que éste pueda adoptar para
proteger sus intereses.
IV. Las acciones correctivas realizadas de
forma inmediata.
V. Los medios donde puede obtener más
información al respecto.
En caso de que ocurra una vulneración a los
datos
personales,
el responsable
deberá
Paso 8. Revisiones y
analizar las causas por las cuales se presentó
46
e
implementar
las
acciones
correctivas,
Auditoría.
Art. 66
Vulneraciones a la
preventivas y de mejora para adecuar las
Seguridad de la
medidas de seguridad correspondientes, a
Información.
NO APLICA
NO APLICA
efecto de evitar que la vulneración se repita.
ENCARGADO
El
encargado
tendrá
las
siguientes
obligaciones respecto del tratamiento que
realice por cuenta del responsable:
8.3
continuidad
I. Tratar únicamente los datos personales
conforme a las instrucciones del responsable.
47
II. Abstenerse de tratar los datos personales
para finalidades distintas a las instruidas por
Estrategia
Art. 50
1. Recomendación
de
del
negocio.
Requerimientos y aspectos para
la
determinación
de
la
estrategia de continuidad del
negocio.
General.
el responsable.
III. Implementar las medidas de seguridad
8.4 Establecimiento e
Procedimientos
conforme a la Ley, su Reglamento y las
implementación
de
características
demás disposiciones aplicables.
procedimientos
de
implementación
IV. Guardar confidencialidad respecto de los
continuidad
del
objetivos
y
y
sus
para
la
de
los
planes
de
256
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
datos personales tratados.
Identificador y
nombre
Descripción
Objetivo de Control
negocio.
continuidad del negocio.
V. Suprimir los datos personales objeto de
tratamiento una vez cumplida la relación
jurídica
con
el
responsable
o
por
instrucciones del responsable, siempre y
cuando no exista una previsión legal que
exija la conservación de los datos personales.
VI.
Abstenerse
de
transferir
los
datos
personales salvo en el caso de que el
responsable
así
lo
determine,
la
comunicación derive de una subcontratación,
o
cuando
así
lo
requiera
la
autoridad
competente.
SUBCONTRATACIONES
Evaluación
Paso 7.
Implementación de
La
relación
entre
el
responsable
y
el
las Medidas de
encargado deberá estar establecida mediante
48
cláusulas contractuales u otro instrumento
jurídico que decida el responsable, que
4.1 Entendimiento de
la organización y su
contexto.
los
factores
a
la
organización
para
la
implementación de un sistema
de gestión de continuidad del
negocio.
Seguridad
Art. 51
de
internos y externos que afectan
Aplicables a los
Actividades
Datos Personales.
para
el
de
las
entendimiento
permita acreditar su existencia, alcance y
Cumplimiento
4.2 Entendimiento de
necesidades y expectativas de
contenido.
Cotidiano de
las
las partes interesadas en el
Medidas de
expectativas
Seguridad.
partes interesadas.
necesidades
de
y
las
sistema
de
continuidad
gestión
del
incluyendo
de
negocio
aspectos
regulatorios y legales.
257
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Evaluación
Toda subcontratación de servicios por parte
del encargado que implique el tratamiento
4.1 Entendimiento de
de datos personales deberá ser autorizada
la organización y su
por el responsable, y se realizará en nombre
contexto.
y por cuenta de este último.
Una
vez
obtenida
la
autorización,
el
el
subcontratado
a
través
de
49
permita acreditar su existencia, alcance y
contenido.
Art. 54
Aplicables a los
Art. 55
Datos Personales.
Cumplimiento
En caso de que la subcontratación no haya
del
obligación
acreditar
que
de
y
las
partes interesadas.
la
subcontratación se realizó con autorización
a
la
organización
para
la
implementación de un sistema
para
el
de
las
entendimiento
necesidades y expectativas de
las partes interesadas en el
sistema
de
continuidad
gestión
del
incluyendo
de
negocio
aspectos
regulatorios y legales.
Determinación de las acciones a
6.1
de
necesidades
expectativas
Seguridad.
responsable
previamente.
La
las
Medidas de
encargado deberá obtener la autorización
correspondiente
4.2 Entendimiento de
Cotidiano de
sido prevista en cláusulas contractuales, el
internos y externos que afectan
Actividades
las Medidas de
Seguridad
factores
negocio.
Implementación de
cláusulas
contractuales u otro instrumento jurídico que
los
de gestión de continuidad del
Paso 7.
encargado deberá formalizar la relación con
de
Acciones
para
llevar a cabo para abordar los
abordar los riesgos y
riesgos y áreas de oportunidad
las oportunidades.
de continuidad del negocio en
del responsable corresponderá al encargado.
la organización.
CÓMPUTO EN LA NUBE
50
Para el tratamiento de datos personales en
Paso 7.
servicios, aplicaciones e infraestructura en el
Implementación de
denominado cómputo en la nube, en los que
las Medidas de
el responsable se adhiera a los mismos
Art. 52 - I
Seguridad
mediante condiciones o cláusulas generales
Aplicables a los
de contratación, sólo podrá utilizar aquellos
Datos Personales.
Evaluación
4.1 Entendimiento de
la organización y su
contexto.
de
los
factores
internos y externos que afectan
a
la
organización
para
la
implementación de un sistema
de gestión de continuidad del
negocio.
258
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
servicios en los que el proveedor cumpla, al
Cumplimiento
menos, con lo siguiente:
Cotidiano de
Medidas de
a) Tener y aplicar políticas de protección de
Seguridad.
datos personales afines a los principios y
Identificador y
nombre
Descripción
Objetivo de Control
Actividades
4.2 Entendimiento de
las
necesidades
expectativas
de
y
las
partes interesadas.
deberes aplicables que establece la Ley y su
Reglamento;
para
el
de
las
entendimiento
necesidades y expectativas de
las partes interesadas en el
sistema
de
continuidad
gestión
del
incluyendo
de
negocio
aspectos
regulatorios y legales.
b) Transparentar las subcontrataciones que
involucren la información sobre la que se
presta el servicio;
c) Abstenerse de incluir condiciones en la
Determinación de las acciones a
prestación del servicio que le autoricen o
6.1
para
llevar a cabo para abordar los
permitan asumir la titularidad o propiedad de
abordar los riesgos y
riesgos y áreas de oportunidad
la información sobre la que presta el servicio,
las oportunidades.
de continuidad del negocio en
Acciones
y
la organización.
d) Guardar confidencialidad respecto de los
datos personales sobre los que se preste el
servicio.
Para el tratamiento de datos personales en
Paso 7.
servicios, aplicaciones e infraestructura en el
Implementación de
denominado cómputo en la nube, en los que
51
el responsable se adhiera a los mismos
Art. 52 - II
Evaluación
las Medidas de
4.1 Entendimiento de
Seguridad
la organización y su
mediante condiciones o cláusulas generales
Aplicables a los
de contratación, sólo podrá utilizar aquellos
Datos Personales.
servicios en los que el proveedor cuente con
Cumplimiento
contexto.
de
los
factores
internos y externos que afectan
a
la
organización
para
la
implementación de un sistema
de gestión de continuidad del
negocio.
259
N°
Requerimiento normativo
mecanismos, al menos, para:
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Cotidiano de
Actividades
Medidas de
a) Dar a conocer cambios en sus políticas de
Seguridad.
4.2 Entendimiento de
privacidad o condiciones del servicio que
las
presta;
expectativas
necesidades
de
y
las
partes interesadas.
b) Permitir al responsable limitar el tipo de
y
mantener
medidas
de
las
entendimiento
necesidades y expectativas de
las partes interesadas en el
sistema
de
continuidad
gestión
del
de
negocio
aspectos
regulatorios y legales.
que se presta el servicio;
Establecer
el
incluyendo
tratamiento de los datos personales sobre los
c)
para
de
seguridad adecuadas para la protección de
los datos personales sobre los que se preste
el servicio;
Determinación de las acciones a
d) Garantizar la supresión de los datos
personales una vez que haya concluido el
6.1
para
llevar a cabo para abordar los
servicio prestado al responsable, y que este
abordar los riesgos y
Acciones
riesgos y áreas de oportunidad
último haya podido recuperarlos, y
las oportunidades.
de continuidad del negocio en
la organización.
e) Impedir el acceso a los datos personales a
personas que no cuenten con privilegios de
acceso, o bien en caso de que sea a solicitud
fundada
y
competente,
motivada
informar
de
de
autoridad
ese
hecho
al
responsable.
TRANSFERENCIAS
260
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Evaluación
Cuando el responsable pretenda transferir los
datos personales a terceros nacionales o
52
extranjeros, distintos del encargado, deberá
Paso 7.
comunicar a éstos el aviso de privacidad y las
Implementación de
finalidades a las que el titular sujetó su
las Medidas de
4.1 Entendimiento de
la organización y su
contexto.
de
factores
internos y externos que afectan
a
la
organización
para
la
implementación de un sistema
de gestión de continuidad del
negocio.
tratamiento.
Art. 68
Seguridad
El tratamiento de los datos se hará conforme
Art. 71
Aplicables a los
Art. 72
Datos Personales.
Art. 74
Cumplimiento
4.2 Entendimiento de
necesidades y expectativas de
la
Cotidiano de
las
las partes interesadas en el
transferencia de sus datos, de igual manera,
Medidas de
expectativas
el tercero receptor, asumirá las mismas
Seguridad.
partes interesadas.
a lo convenido en el aviso de privacidad, el
cual contendrá una cláusula en la que se
indique
si
el
obligaciones
titular
que
acepta
o
no
correspondan
Art. 36
Actividades
necesidades
de
y
las
sistema
de
continuidad
al
transferencia,
de
demostrar
sea
ésta
que
la
nacional
o
Implementación de
las Medidas de
establece la Ley y su Reglamento, la carga de
la prueba recaerá, en todos los casos, en el
responsable que transfiere y en el receptor
4.1 Entendimiento de
la organización y su
contexto.
las
gestión
del
de
negocio
aspectos
Art. 69
de
los
factores
internos y externos que afectan
a
la
organización
para
la
implementación de un sistema
de gestión de continuidad del
negocio.
Seguridad
internacional, se realiza conforme a lo que
de los datos personales.
de
regulatorios y legales.
Paso 7.
efectos
el
incluyendo
Evaluación
Para
para
entendimiento
responsable que transfirió los datos.
53
los
Aplicables a los
Actividades
Datos Personales.
para
el
de
las
entendimiento
Cumplimiento
4.2 Entendimiento de
necesidades y expectativas de
Cotidiano de
las
las partes interesadas en el
Medidas de
expectativas
Seguridad.
partes interesadas.
necesidades
de
y
las
sistema
de
continuidad
gestión
del
incluyendo
de
negocio
aspectos
regulatorios y legales.
261
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Factores internos y externos de
4
Contexto
Organización.
En
el caso de
transferencias
de
datos
5 Liderazgo.
sociedad matriz o a cualquier sociedad del
Art. 70
1. Recomendación
implementación
y
Establecimiento de objetivos de
General
6 Planeación.
de normas internas de protección de datos
la continuidad del negocio y
planeación de acciones para
alcanzarlos.
personales cuya observancia sea vinculante,
Componentes necesarios para
siempre y cuando éstas cumplan con lo
Reglamento y
la
operación de un sistema de
negocio.
para garantizar que el receptor de los datos
establecido en la Ley, su
un sistema de gestión de la
gestión de la continuidad del
mismo grupo del responsable, el mecanismo
normativa aplicable, podrá ser la existencia
implementación y operación de
para
del mismo grupo del responsable, o a una
previstas en la Ley, su Reglamento y demás
la organización que afectan la
Compromiso de la organización
subsidiarias o afiliadas bajo el control común
personales cumplirá con las disposiciones
la
continuidad del negocio.
personales entre sociedades controladoras,
54
de
7 Soporte.
demás normativa aplicable.
la
implementación
sistema
de
de
gestión
un
de
la
para
la
continuidad del negocio.
Procesos
8 Operación.
necesarios
operación de un sistema de
gestión de la continuidad del
negocio.
262
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Actividades para el monitoreo,
9
Evaluación
de
desempeño.
medición, análisis, y evaluación
del desempeño de un sistema
de gestión de la continuidad
del negocio.
Atención de no conformidades
del sistema de gestión de la
10 Mejora.
continuidad del negocio para
su mejora continua.
Evaluación
Paso 7.
Implementación de
La
transferencia
deberá
formalizarse
las Medidas de
mediante algún mecanismo que permita
55
Art. 73
Aplicables a los
comunicó
Art. 75
Datos Personales.
responsable
receptor
las
la organización y su
contexto.
los
factores
a
la
organización
para
la
implementación de un sistema
de gestión de continuidad del
negocio.
Seguridad
demostrar que el responsable transferente
al
4.1 Entendimiento de
de
internos y externos que afectan
Actividades
para
el
de
las
entendimiento
condiciones en las que el titular consintió el
Cumplimiento
4.2 Entendimiento de
necesidades y expectativas de
tratamiento de sus datos personales.
Cotidiano de
las
las partes interesadas en el
Medidas de
expectativas
Seguridad.
partes interesadas.
necesidades
de
y
las
sistema
de
continuidad
gestión
del
incluyendo
de
negocio
aspectos
regulatorios y legales.
263
4.9 ISO 31000:2009, Risk management – Principles and guidelines.
Introducción. Este estándar proporciona los principios y las guías genéricas para la gestión de riesgos, por lo que puede
ser utilizada por cualquier organización no importando la industria o sector. Los puntos contenidos en este estándar
pueden ser aplicados a lo largo de la vida de una organización, y para una diversidad de actividades, incluyendo
estrategias y decisiones, operaciones, proceso, funciones, proyectos, productos, servicios, y activos.
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
RESPONSABLE
2
Términos
y
definiciones.
Términos y definiciones de la
gestión del riesgo.
Principios
3 Principios.
para
personales, deberán observar los principios
1
de
licitud,
consentimiento,
información,
calidad, finalidad, lealtad, proporcionalidad y
responsabilidad, previstos en la Ley.
Art. 6
Art. 9
de
la
alta
4.2 Responsabilidad y
dirección de la organización
compromiso.
para la gestión efectiva del
riesgo.
1. Recomendación
General.
gestión
efectiva del riesgo.
Compromiso
Los responsables en el tratamiento de datos
la
4.3 Diseño del marco
de
trabajo
para
la
Gestión del Riesgo.
4.4
de
Gestión
del
Riesgo.
4.5
Monitoreo
las que debe contar un marco
de trabajo para la gestión del
riesgo.
Implementación
la
Características principales con
Consideraciones
para
la
implementación efectiva de la
gestión del riesgo.
y
Características de los procesos
revisión del marco de
de monitoreo y revisión del
264
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
trabajo.
marco de trabajo de la gestión
del riesgo.
4.6 Mejora continua
del marco de trabajo.
5.2 Comunicación y
consulta.
5.3
Establecimiento
Evaluación
del
Tratamiento
del
Factores internos y externos a
considerarse para la
gestión
Proceso
de
evaluación
del
Selección
de
opciones
y
alternativas para modificación
y
Procesos
de
monitoreo
y
revisión del riesgo.
Registro
proceso de
las partes interesadas para la
del riesgo.
Monitoreo
revisión.
5.7
Comunicación y consulta con
riesgo y sus componentes.
Riesgo.
5.6
trabajo de la gestión del riesgo.
efectiva del riesgo.
Riesgo.
5.5
mejora continua del marco de
gestión efectiva del riesgo.
del contexto.
5.4
Acciones para llevar a cabo la
del
Acciones para llevar a cabo la
Gestión
trazabilidad de la gestión del
del Riesgo.
riesgo.
NO APLICA
NO APLICA
LICITUD Y LEALTAD
Los datos personales deberán recabarse y
tratarse de manera lícita, privilegiando la
2
protección de los intereses del titular y la
expectativa
razonable
de
privacidad,
sin
Art. 7
Art. 7
Art. 10
Art. 44
Paso 1. Alcance y
Objetivos.
importar la fuente de la que se obtienen los
265
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
datos.
La obtención de datos personales no debe
hacerse a través de medios engañosos o
fraudulentos.
CONSENTIMIENTO
El tratamiento de datos personales estará
sujeto al consentimiento de su titular, salvo
las excepciones previstas por la Ley.
Los
3
patrimoniales
Art. 11
requerirán consentimiento expreso de su
datos
financieros
o
Art. 12
titular.
Art. 8
Art. 15
Paso 2. Política de
Gestión de Datos
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Personales.
Cuando los datos personales se obtengan
personalmente o de manera directa de su
titular, el consentimiento deberá ser previo al
tratamiento.
El responsable deberá facilitar al titular
4
medios sencillos y gratuitos para manifestar
Paso 2. Política de
Art. 8
Art. 16
su consentimiento expreso.
Gestión de Datos
Personales.
Tratándose de datos personales sensibles, el
responsable
deberá
obtener
el
consentimiento expreso y por escrito del
5
titular
para
su
tratamiento.
Paso 2. Política de
Art. 9
Art. 56
Gestión de Datos
Personales.
No podrán crearse bases de datos que
contengan datos personales sensibles, sin
266
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
que se justifique la creación de las mismas
para
finalidades
legítimas,
concretas
y
acordes con las actividades o fines explícitos
que persigue el sujeto regulado.
Paso 7.
Implementación de
las Medidas de
Para efectos de demostrar la obtención del
6
consentimiento,
recaerá,
en
la
carga
todos
los
de
la
casos,
Seguridad
prueba
en
Art. 20
el
responsable.
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
INFORMACIÓN
A
través
del
aviso
de
privacidad,
el
responsable tendrá la obligación de informar
a los titulares, los datos que recaba, las
finalidades necesarias y las que no lo son
para
la
relación
jurídica,
así
como
las
características principales de su tratamiento.
7
Cuando se traten datos personales como
parte de un proceso de toma de decisiones
Art. 15
Art. 14
Paso 2. Política de
Art. 23
Gestión de Datos
Art. 112
Personales.
sin que intervenga la valoración de una
persona
física,
el
responsable
deberá
informar al titular que esta situación ocurre.
Si obtiene los datos de manera automática,
267
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
deberá informar al titular sobre el uso de
estas tecnologías y la forma en que podrá
deshabilitarlas.
Paso 7.
Implementación de
las Medidas de
Cuando los datos personales sean obtenidos
directamente
8
del
titular,
el
aviso
Seguridad
de
privacidad debe ponerse a disposición de los
Art. 3, I
titulares a través de formatos impresos,
Art. 17
Art. 27
digitales, visuales, sonoros o cualquier otra
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Cumplimiento
tecnología.
Cotidiano de
Medidas de
Seguridad.
Paso 7.
El aviso de privacidad
debe contener un
mecanismo,
el
para
que
titular
Implementación de
las Medidas de
pueda
manifestar su negativa al tratamiento de sus
9
datos
personales.
Cuando
los
datos
se
obtengan de manera indirecta del titular, el
responsable deberá darle a conocer el aviso
de privacidad y sus cambios.
Art. 14
Art. 18
Art. 29
Art. 32
Seguridad
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
Seguridad
268
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
Implementación de
las Medidas de
Para efectos de demostrar la puesta a
disposición
10
del
aviso
de
privacidad
Seguridad
en
cumplimiento del principio de información, la
Art. 31
carga de la prueba recaerá, en todos los
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
Cumplimiento
casos, en el responsable.
Cotidiano de
Medidas de
Seguridad.
CALIDAD
El responsable procurará que los datos
personales contenidos en las bases de datos
11
sean
exactos,
completos,
pertinentes,
correctos y actualizados según se requiera
Paso 2. Política de
Art. 11
Art. 36
Gestión de Datos
2.26 Control.
Personales.
para el cumplimiento de la finalidad para la
Definición
y
ejemplos
de
y
ejemplos
de
control.
cual son tratados.
Cuando los datos de carácter personal hayan
dejado
de
ser
necesarios
para
el
cumplimiento de las finalidades previstas por
el aviso de privacidad y las disposiciones
legales aplicables, deberán ser cancelados,
12
previo bloqueo de los mismos.
Art. 3 III
Art. 11
Paso 2. Política de
Art. 37
Gestión de Datos
Personales.
2.26 Control.
Definición
control.
El responsable de la base de datos estará
obligado a eliminar la información relativa al
incumplimiento
de
obligaciones
contractuales, una vez que transcurra un
269
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
plazo de setenta y dos meses, contado a
partir de la fecha calendario en que se
presente el mencionado incumplimiento.
El responsable establecerá y documentará
13
Paso 2. Política de
procedimientos para la conservación y, en su
Art. 38
caso, bloqueo y supresión de los datos
Gestión de Datos
2.26 Control.
Personales.
personales.
Definición
y
ejemplos
de
control.
Paso 7.
Implementación de
las Medidas de
Seguridad
Al responsable le corresponde demostrar que
14
Aplicables a los
los datos personales se conservan, o en su
Art. 39
caso, bloquean, suprimen o cancelan.
Datos Personales.
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
FINALIDAD
El tratamiento de datos personales deberá
limitarse al cumplimiento de las finalidades
previstas en el aviso de privacidad.
15
Si el responsable pretende tratar los datos
para un fin distinto al establecido, deberá
Art. 12
Art. 40
Paso 2. Política de
Art. 42
Gestión de Datos
Art. 43
Personales.
obtener nuevamente el consentimiento del
titular.
270
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
El titular podrá oponerse o revocar su
consentimiento para las finalidades distintas
a las que dieron origen a la relación jurídica,
sin que ello tenga como consecuencia la
conclusión del tratamiento.
PROPORCIONALIDAD
El tratamiento de datos personales será el
que resulte necesario, adecuado y relevante
en relación con las finalidades previstas en el
16
aviso de privacidad. En particular para datos
Art. 13
personales sensibles, el responsable deberá
Art. 45
Art. 46
Paso 2. Política de
Gestión de Datos
NO APLICA
NO APLICA
Personales.
limitar el periodo de tratamiento al mínimo
indispensable.
CONFIDENCIALIDAD
5.5.2
El responsable o terceros que intervengan en
cualquier fase del tratamiento de datos
17
personales deberán guardar confidencialidad
respecto de éstos, obligación que subsistirá
Art. 21
Art. 9
de
Consideraciones
opciones
de
cuenta para la selección de
Tratamiento
del
opciones
Paso 2. Política de
Riesgo.
Gestión de Datos
5.5.3
Personales.
aun después de finalizar sus relaciones con el
Selección
titular o, en su caso, con el responsable.
Preparación
y
a
tomar
alternativas
en
de
tratamiento del riesgo.
e
implementación
de
Características que deben ser
planes
de
consideradas en los planes de
Tratamiento
del
tratamiento del riesgo.
Riesgo.
RESPONSABILIDAD
El responsable tiene la obligación de velar y
18
responder por el tratamiento de los datos
personales en su posesión, debiendo adoptar
Paso 2. Política de
Art. 14
Art. 47
Gestión de Datos
Personales.
2.26 Control.
Definición
y
ejemplos
de
control.
271
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
las medidas necesarias.
El responsable deberá tomar las medidas
necesarias y suficientes para garantizar que el
aviso de privacidad dado a conocer al titular,
sea respetado en todo momento por él o
por terceros con los que guarde alguna
relación jurídica.
5.3 Estableciendo el
contexto.
Contexto
Externo.
19
para
garantizar
el
debido
tratamiento,
privilegiando los intereses del titular y la
Paso 5. Realizar el
Art. 14
Art. 48
expectativa razonable de privacidad.
Análisis de Riesgo
de los Datos
Personales.
5.3.3
Contexto
Interno.
organización.
Art. 48 - I
de
la
organización que inciden en la
Factores
internos
de
la
organización que inciden en la
Elementos necesarios para el
contexto del proceso
establecimiento
de
del proceso de gestión del
Gestión
del
del
contexto
riesgo.
Definición
de
Paso 2. Política de
4.3.2 Estableciendo la
Gestión de Datos
Política
Personales.
externos
gestión del riesgo.
criterio del Riesgo.
obligatorios y exigibles al interior de la
Factores
5.3.4 Estableciendo el
5.3.5
20
gestión
gestión del riesgo.
Riesgo.
Elaborar políticas y programas de privacidad
considerarse para la
efectiva del riesgo.
5.3.2
Los responsables deberán adoptar medidas
Factores internos y externos a
de
del Riesgo.
Gestión
Definición y establecimiento del
criterio para evaluar el riesgo.
Enfoque y elementos de la
política de gestión del riesgo.
272
N°
Requerimiento normativo
Poner
21
en
práctica
un
programa
personal
sobre
las
obligaciones
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
de
capacitación, actualización, y concientización
del
Referencia
en
Identificador y
nombre
Descripción
Objetivo de Control
Paso 9. Mejora
Art. 48 - II
materia de protección de datos personales.
Continua y
Capacitación.
NO APLICA
NO APLICA
Capacitación.
4.5
Monitoreo
y
Revisión del Marco de
Trabajo.
Establecer
22
un
sistema
de
supervisión
externas para comprobar el cumplimiento de
Art. 48 - III
Paso 8. Revisiones y
4.6 Mejora continua
Auditoría.
del Marco de Trabajo.
las políticas de privacidad.
5.6
Monitoreo
de monitoreo y revisión del
marco de trabajo de la gestión
del riesgo.
y
vigilancia interna, verificaciones o auditorías
Características de los procesos
y
Acciones para llevar a cabo la
mejora continua del marco de
trabajo de la gestión del riesgo.
Procesos
de
monitoreo
Revisión.
revisión del riesgo.
NO APLICA
NO APLICA
y
Paso 3. Establecer
23
Destinar recursos para la instrumentación de
los programas y políticas de privacidad.
Funciones y
Art. 48 - IV
Obligaciones de
Quienes Traten
Datos Personales.
Instrumentar un procedimiento para que se
Paso 5. Realizar el
atienda el riesgo para la protección de datos
24
personales por la implementación de nuevos
productos, servicios, tecnologías y modelos
de negocios, así como para mitigarlos.
Art. 48 - V
Análisis de Riesgo
de los Datos
5.4
Evaluación
Riesgo.
del
Proceso
de
evaluación
del
riesgo y sus componentes.
Personales.
273
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
5.4.2
Identificación
del Riesgo.
5.4.3
Análisis
identificación del riesgo.
del
Riesgo.
5.4.4
Revisión
del
Descripción general del proceso
de revisión del riesgo.
Tratamiento
del
Riesgo.
5.5.2
Descripción general del proceso
de análisis del riesgo.
Riesgo.
5.5
Actividades a considerar para la
Selección
de
opciones
y
alternativas para modificación
del riesgo.
de
Consideraciones
opciones
Selección
de
cuenta para la selección de
Tratamiento
del
opciones
Riesgo.
5.5.3
Preparación
implementación
y
a
tomar
alternativas
en
de
tratamiento del riesgo.
e
de
Características que deben ser
planes
de
consideradas en los planes de
Tratamiento
del
tratamiento del riesgo.
Riesgo.
Revisar
25
periódicamente
las
políticas
y
programas de seguridad para determinar las
modificaciones que se requieran.
Art. 48 - VI
Paso 8. Revisiones y
Auditoría.
4.5
Monitoreo
y
Revisión del Marco de
Trabajo.
Características de los procesos
de monitoreo y revisión del
marco de trabajo de la gestión
del riesgo.
274
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
4.6 Mejora continua
del Marco de Trabajo.
5.6
Monitoreo
y
Revisión.
5.7
mejora continua del marco de
trabajo de la gestión del riesgo.
Procesos
de
monitoreo
y
revisión del riesgo.
Registro
proceso de
Acciones para llevar a cabo la
del
Acciones para llevar a cabo la
Gestión
trazabilidad de la gestión del
del Riesgo.
riesgo.
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Paso 7.
Implementación de
las Medidas de
Establecer
26
procedimientos
para
recibir
Seguridad
y
responder dudas y quejas de los titulares de
Art. 48 - VII
los datos personales.
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
Disponer
27
de
mecanismos
para
el
cumplimiento de las políticas y programas de
privacidad, así como de sanciones por su
Paso 3. Funciones y
Art. 48 - VIII
incumplimiento.
los datos personales, es decir, un conjunto
de acciones técnicas y administrativas que
Quienes Traten
Datos Personales.
Establecer medidas para el aseguramiento de
28
Obligaciones de
Paso 6.
Art. 48 - IX
Identificación de las
medidas de
5.5.2
Selección
de
Consideraciones
opciones
de
cuenta para la selección de
Tratamiento
del
opciones
y
a
tomar
alternativas
en
de
275
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
permitan garantizar al responsable el
seguridad y Análisis
cumplimiento de los principios y obligaciones
de Brecha.
que establece la Ley y su Reglamento.
Identificador y
nombre
Descripción
Objetivo de Control
Riesgo.
5.5.3
tratamiento del riesgo.
Preparación
e
implementación
de
Características que deben ser
planes
de
consideradas en los planes de
Tratamiento
del
tratamiento del riesgo.
Riesgo.
5.5.2
29
Establecer medidas para la trazabilidad de los
Paso 6.
datos personales, es decir acciones, medidas
Identificación de las
y procedimientos técnicos que
permiten
Art. 48 - X
rastrear a los datos personales durante su
medidas de
seguridad y Análisis
tratamiento.
de Brecha.
de
Consideraciones
opciones
Selección
de
cuenta para la selección de
Tratamiento
del
opciones
Riesgo.
5.5.3
Preparación
implementación
y
a
tomar
alternativas
en
de
tratamiento del riesgo.
e
de
Características que deben ser
planes
de
consideradas en los planes de
Tratamiento
del
tratamiento del riesgo.
Riesgo.
Paso 7.
Implementación de
Todo responsable deberá designar a una
persona,
personales,
30
o
departamento
quien
dará
de
trámite
las Medidas de
datos
a
solicitudes de los titulares, para el ejercicio
de los derechos a que se refiere la Ley.
Asimismo fomentará la protección de datos
personales al interior de la organización.
Seguridad
las
Art. 30
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
SEGURIDAD
276
N°
Requerimiento normativo
Todo
responsable
tratamiento
de
que
datos
lleve
a
personales
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
cabo
deberá
establecer y mantener medidas de seguridad
5.4
administrativas,
Riesgo.
permitan
técnicas
proteger
los
y
físicas
datos
Descripción
Objetivo de Control
que
Evaluación
del
Proceso
de
evaluación
del
riesgo y sus componentes.
personales
contra daño, pérdida, alteración, destrucción
o el uso, acceso o tratamiento no autorizado.
31
No
adoptarán
medidas
de
seguridad
menores a aquellas que mantengan para el
Paso 6.
Art. 19
manejo de su información.
Art. 4
Identificación de las
Art. 9
medidas de
Art. 57
seguridad y Análisis
de Brecha.
Cuando el encargado se encuentre ubicado
5.5
Tratamiento
del
Riesgo.
5.5.2
Selección
seguridad contenidas en el Capítulo III de
Reglamento.
opciones
y
de
Consideraciones
opciones
de
cuenta para la selección de
Tratamiento
del
opciones
5.5.3
disposiciones relativas a las medidas de
de
alternativas para modificación
del riesgo.
Riesgo.
en territorio mexicano, le serán aplicables las
Selección
y
a
tomar
alternativas
en
de
tratamiento del riesgo.
Preparación
e
implementación
de
Características que deben ser
planes
de
consideradas en los planes de
Tratamiento
del
tratamiento del riesgo.
del
Proceso
Riesgo.
El responsable determinará las medidas de
5.4
seguridad aplicables a los datos personales
Paso 5. Realizar el
que trate, considerando el riesgo existente,
32
las posibles consecuencias para los titulares,
la sensibilidad de los datos y el desarrollo
tecnológico.
Art. 19
Art. 60
Evaluación
Riesgo.
de
evaluación
del
riesgo y sus componentes.
Análisis de Riesgo
de los Datos
Personales.
5.4.2
Identificación
del Riesgo.
Actividades a considerar para la
identificación del riesgo.
277
N°
Requerimiento normativo
De
manera
adicional,
el
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
responsable
procurará tomar en cuenta los siguientes
elementos:
5.4.3
Análisis
del
Riesgo.
I. El número de titulares;
Descripción general del proceso
de análisis del riesgo.
II. Las vulnerabilidades previas ocurridas en
los sistemas de tratamiento;
III.
El
riesgo
por
el
valor
potencial
cuantitativo o cualitativo que pudieran tener
los datos personales tratados para una
tercera
persona
no
autorizada
para
5.4.4
Revisión
del
Riesgo.
Descripción general del proceso
de revisión del riesgo.
su
posesión, y
IV. Demás factores que puedan incidir en el
nivel de riesgo o que resulten de otras leyes
o regulación aplicable al responsable.
5.5
Tratamiento
del
Riesgo.
5.5.2
Selección
de
opciones
y
alternativas para modificación
del riesgo.
de
Consideraciones
opciones
Selección
de
cuenta para la selección de
Tratamiento
del
opciones
Riesgo.
5.5.3
Preparación
y
a
tomar
alternativas
en
de
tratamiento del riesgo.
e
implementación
de
Características que deben ser
planes
de
consideradas en los planes de
Tratamiento
del
tratamiento del riesgo.
Riesgo.
278
N°
33
Requerimiento normativo
Elaborar un inventario de datos personales y
de los sistemas de tratamiento.
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 4. Elaborar un
Art. 61 - I
Inventario de Datos
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Personales.
Paso 3. Establecer
34
Determinar las funciones y obligaciones de
las personas que traten datos personales.
Funciones y
Art. 61 - II
Obligaciones de
Quienes Traten
Datos Personales.
5.4
Evaluación
del
Riesgo.
Identificación
del Riesgo.
Contar con un análisis de riesgos de datos
35
personales
que
consiste
en
identificar
peligros y estimar los riesgos a los datos
personales.
Paso 5. Realizar el
Art. 61 - III
Análisis de Riesgo
de los Datos
Personales.
Análisis
del
Revisión
Actividades a considerar para la
Descripción general del proceso
del
Descripción general del proceso
de revisión del riesgo.
Tratamiento
del
Riesgo.
5.5.2
del
de análisis del riesgo.
Riesgo.
5.5
evaluación
identificación del riesgo.
Riesgo.
5.4.4
de
riesgo y sus componentes.
5.4.2
5.4.3
Proceso
Selección
de
opciones
y
alternativas para modificación
del riesgo.
de
Consideraciones
opciones
de
cuenta para la selección de
Tratamiento
del
opciones
Riesgo.
Selección
y
a
tomar
alternativas
en
de
tratamiento del riesgo.
279
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
5.5.3
Preparación
e
implementación
de
Características que deben ser
planes
de
consideradas en los planes de
Tratamiento
del
tratamiento del riesgo.
Riesgo.
5.5.2
Paso 6.
Establecer
36
las
medidas
de
seguridad
aplicables a los datos personales e identificar
Identificación de las
Art. 61 - IV
aquéllas implementadas de manera efectiva.
medidas de
seguridad y Análisis
de Brecha.
de
Consideraciones
opciones
Selección
de
cuenta para la selección de
Tratamiento
del
opciones
Riesgo.
5.5.3
y
a
tomar
en
alternativas
de
tratamiento del riesgo.
Preparación
implementación
e
de
Características que deben ser
planes
de
consideradas en los planes de
Tratamiento
del
tratamiento del riesgo.
del
Descripción general del proceso
Riesgo.
37
Realizar el análisis de brecha que consiste en
Paso 6.
la diferencia de las medidas de seguridad
Identificación de las
existentes y aquéllas faltantes que resultan
Art. 61 - V
necesarias para la protección de los datos
de Brecha.
Paso 7.
Implementación de
las Medidas de
Elaborar
38
un
plan
de
trabajo
para
la
implementación de las medidas de seguridad
faltantes, derivadas del análisis de brecha.
Seguridad
Art. 61 - VI
Análisis
Riesgo.
de análisis del riesgo.
medidas de
seguridad y Análisis
personales.
5.4.3
Aplicables a los
Datos Personales.
Plan de Trabajo
para la
Implementación de
5.6
Monitoreo
y
revisión.
5.5.2
Selección
Procesos
de
monitoreo
y
revisión del riesgo.
de
Consideraciones
opciones
de
cuenta para la selección de
Tratamiento
del
opciones
Riesgo.
5.5.3
Preparación
y
a
tomar
alternativas
en
de
tratamiento del riesgo.
e
implementación
de
Características que deben ser
planes
de
consideradas en los planes de
Tratamiento
del
tratamiento del riesgo.
Riesgo.
280
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
las Medidas de
Seguridad Faltantes.
4.5
Monitoreo
y
Revisión del Marco de
Trabajo.
39
Llevar a cabo revisiones o auditorías.
Art. 61 - VII
Paso 8. Revisiones y
Auditoría.
del Marco de Trabajo.
Monitoreo
y
Revisión.
5.7
marco de trabajo de la gestión
Acciones para llevar a cabo la
mejora continua del marco de
trabajo de la gestión del riesgo.
Procesos
de
monitoreo
y
revisión del riesgo.
Registro
proceso de
de monitoreo y revisión del
del riesgo.
4.6 Mejora continua
5.6
Características de los procesos
del
Acciones para llevar a cabo la
Gestión
trazabilidad de la gestión del
del Riesgo.
riesgo.
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Paso 9. Mejora
40
Capacitar
al
personal
que
efectúe
el
tratamiento de datos personales.
Art. 61 - VIII
Continua y
Capacitación.
Capacitación.
Paso 5. Realizar el
41
Realizar un
registro de
los medios de
almacenamiento de los datos personales.
Análisis de Riesgo
Art. 61 - IX
de los Datos
Personales.
3. Acciones a
42
Contar con una relación de las medidas de
seguridad.
Art. 61
implementar para la
seguridad de los
2.26 Control.
Definición
y
ejemplos
de
control.
datos personales
281
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
documentadas.
Actualizar las medidas de seguridad cuando:
5.3 Estableciendo el
contexto.
I. Se modifiquen las medidas o procesos de
5.3.2
del responsable.
Externo.
Contexto
43
del nivel de riesgo.
III. Se vulneren los sistemas de tratamiento,
5.3.3
Art. 62
Paso 8. Revisiones y
Auditoría.
de conformidad con lo dispuesto en el
artículo 20 de la Ley y 63 de su Reglamento.
IV.
Exista
una
afectación
a
los
datos
Contexto
Interno.
Factores
externos
de
la
organización que inciden en la
Factores
internos
de
la
organización que inciden en la
gestión del riesgo.
5.3.4 Estableciendo el
Elementos necesarios para el
contexto del proceso
establecimiento
de
del proceso de gestión del
Gestión
del
Riesgo.
personales distinta a las anteriores.
gestión
gestión del riesgo.
II. Se produzcan modificaciones sustanciales
en el tratamiento que deriven en un cambio
considerarse para la
efectiva del riesgo.
seguridad para su mejora continua, derivado
de las revisiones a la política de seguridad
Factores internos y externos a
del
contexto
riesgo.
En el caso de datos personales sensibles, los
responsables procurarán revisar y, en su caso,
5.3.5
actualizar las relaciones correspondientes una
criterio del Riesgo.
Definición
de
Definición y establecimiento del
criterio para evaluar el riesgo.
vez al año.
VULNERACIONES A LA SEGURIDAD
282
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Las vulneraciones de seguridad ocurridas en
cualquier fase del tratamiento que afecten de
Paso 8. Revisiones y
forma significativa los derechos patrimoniales
44
o morales de los titulares, serán informadas
de forma inmediata por el responsable al
Art. 20
Art. 63
Art. 64
titular, a fin de que este último pueda tomar
Auditoría.
Vulneraciones a la
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Seguridad de la
Información.
las medidas correspondientes a la defensa de
sus derechos.
En caso de que ocurra una vulneración a la
seguridad
de
los
datos
personales,
el
responsable deberá informar al titular al
menos lo siguiente:
Paso 8. Revisiones y
I. La naturaleza del incidente.
45
II. Los datos personales comprometidos.
III. Las recomendaciones al titular acerca de
Auditoría.
Art. 65
Vulneraciones a la
Seguridad de la
las medidas que éste pueda adoptar para
Información.
proteger sus intereses.
IV. Las acciones correctivas realizadas de
forma inmediata.
V. Los medios donde puede obtener más
información al respecto.
En caso de que ocurra una vulneración a los
46
datos
personales,
el responsable
deberá
analizar las causas por las cuales se presentó
e
implementar
las
acciones
correctivas,
Paso 8. Revisiones y
Art. 66
Auditoría.
Vulneraciones a la
Seguridad de la
4.5
Monitoreo
y
Revisión del Marco de
Trabajo.
Características de los procesos
de monitoreo y revisión del
marco de trabajo de la gestión
del riesgo.
283
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
preventivas y de mejora para adecuar las
Identificador y
nombre
Descripción
Objetivo de Control
Información.
medidas de seguridad correspondientes, a
4.6 Mejora continua
efecto de evitar que la vulneración se repita.
del Marco de Trabajo.
5.6
Monitoreo
y
Revisión.
5.7
mejora continua del marco de
trabajo de la gestión del riesgo.
Procesos
de
monitoreo
y
revisión del riesgo.
Registro
proceso de
Acciones para llevar a cabo la
del
Acciones para llevar a cabo la
Gestión
trazabilidad de la gestión del
del Riesgo.
riesgo.
ENCARGADO
El
encargado
tendrá
las
siguientes
5.5.2
Selección
de
Consideraciones
a
tomar
en
obligaciones respecto del tratamiento que
opciones
de
cuenta para la selección de
realice por cuenta del responsable:
Tratamiento
del
opciones
Riesgo.
y
alternativas
de
tratamiento del riesgo.
I. Tratar únicamente los datos personales
conforme a las instrucciones del responsable.
II. Abstenerse de tratar los datos personales
47
para finalidades distintas a las instruidas por
el responsable.
III. Implementar las medidas de seguridad
conforme a la Ley, su Reglamento y las
demás disposiciones aplicables.
IV. Guardar confidencialidad respecto de los
Art. 50
1. Recomendación
General.
5.5.3
Preparación
e
implementación
de
Características que deben ser
planes
de
consideradas en los planes de
Tratamiento
del
tratamiento del riesgo.
Riesgo.
datos personales tratados.
V. Suprimir los datos personales objeto de
tratamiento una vez cumplida la relación
284
N°
Requerimiento normativo
jurídica
con
el
responsable
o
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
por
instrucciones del responsable, siempre y
cuando no exista una previsión legal que
exija la conservación de los datos personales.
VI.
Abstenerse
de
transferir
los
datos
personales salvo en el caso de que el
responsable
así
lo
determine,
la
comunicación derive de una subcontratación,
o
cuando
así
lo
requiera
la
autoridad
competente.
SUBCONTRATACIONES
Paso 7.
Implementación de
La
48
relación
entre
el
responsable
y
el
las Medidas de
encargado deberá estar establecida mediante
Seguridad
cláusulas contractuales u otro instrumento
Aplicables a los
jurídico que decida el responsable, que
Art. 51
Datos Personales.
permita acreditar su existencia, alcance y
Cumplimiento
contenido.
Cotidiano de
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Medidas de
Seguridad.
Toda subcontratación de servicios por parte
Paso 7.
del encargado que implique el tratamiento
Implementación de
de datos personales deberá ser autorizada
49
por el responsable, y se realizará en nombre
y por cuenta de este último.
Una
vez
obtenida
la
autorización,
el
encargado deberá formalizar la relación con
Art. 54
Art. 55
las Medidas de
Seguridad
Aplicables a los
Datos Personales.
Cumplimiento
285
N°
Requerimiento normativo
el
subcontratado
a
través
de
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
cláusulas
Cotidiano de
contractuales u otro instrumento jurídico que
Medidas de
permita acreditar su existencia, alcance y
Seguridad.
Identificador y
nombre
Descripción
Objetivo de Control
contenido.
En caso de que la subcontratación no haya
sido prevista en cláusulas contractuales, el
encargado deberá obtener la autorización
correspondiente
del
responsable
previamente.
La
obligación
de
acreditar
que
la
subcontratación se realizó con autorización
del responsable corresponderá al encargado.
CÓMPUTO EN LA NUBE
Para el tratamiento de datos personales en
servicios, aplicaciones e infraestructura en el
denominado cómputo en la nube, en los que
Paso 7.
el responsable se adhiera a los mismos
Implementación de
mediante condiciones o cláusulas generales
las Medidas de
de contratación, sólo podrá utilizar aquellos
Seguridad
servicios en los que el proveedor cumpla, al
50
menos, con lo siguiente:
a) Tener y aplicar políticas de protección de
datos personales afines a los principios y
deberes aplicables que establece la Ley y su
Reglamento;
Art. 52 - I
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
b) Transparentar las subcontrataciones que
286
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
involucren la información sobre la que se
presta el servicio;
c) Abstenerse de incluir condiciones en la
prestación del servicio que le autoricen o
permitan asumir la titularidad o propiedad de
la información sobre la que presta el servicio,
y
d) Guardar confidencialidad respecto de los
datos personales sobre los que se preste el
servicio.
Para el tratamiento de datos personales en
5.5.2
de
Consideraciones
servicios, aplicaciones e infraestructura en el
opciones
de
cuenta para la selección de
Tratamiento
del
opciones
denominado cómputo en la nube, en los que
el responsable se adhiera a los mismos
Paso 7.
mediante condiciones o cláusulas generales
Implementación de
de contratación, sólo podrá utilizar aquellos
las Medidas de
servicios en los que el proveedor cuente con
51
mecanismos, al menos, para:
Selección
Riesgo.
y
a
tomar
alternativas
en
de
tratamiento del riesgo.
Seguridad
Art. 52 - II
Aplicables a los
Datos Personales.
a) Dar a conocer cambios en sus políticas de
Cumplimiento
privacidad o condiciones del servicio que
Cotidiano de
presta;
Medidas de
Seguridad.
5.5.3
Preparación
implementación
e
de
Características que deben ser
planes
de
consideradas en los planes de
Tratamiento
del
tratamiento del riesgo.
Riesgo.
b) Permitir al responsable limitar el tipo de
tratamiento de los datos personales sobre los
que se presta el servicio;
287
N°
Requerimiento normativo
c)
Establecer
y
mantener
medidas
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
de
seguridad adecuadas para la protección de
los datos personales sobre los que se preste
el servicio;
d) Garantizar la supresión de los datos
personales una vez que haya concluido el
servicio prestado al responsable, y que este
último haya podido recuperarlos, y
e) Impedir el acceso a los datos personales a
personas que no cuenten con privilegios de
acceso, o bien en caso de que sea a solicitud
fundada
y
competente,
motivada
informar
de
de
autoridad
ese
hecho
al
responsable.
TRANSFERENCIAS
Cuando el responsable pretenda transferir los
Paso 7.
datos personales a terceros nacionales o
Implementación de
extranjeros, distintos del encargado, deberá
las Medidas de
comunicar a éstos el aviso de privacidad y las
52
finalidades a las que el titular sujetó su
tratamiento.
El tratamiento de los datos se hará conforme
Art. 68
Art. 36
Seguridad
Art. 71
Aplicables a los
Art. 72
Datos Personales.
Art. 74
Cumplimiento
a lo convenido en el aviso de privacidad, el
Cotidiano de
cual contendrá una cláusula en la que se
Medidas de
indique
Seguridad.
si
el
titular
acepta
o
no
la
NO APLICA
NO APLICA
288
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
transferencia de sus datos, de igual manera,
el tercero receptor, asumirá las mismas
obligaciones
que
correspondan
al
responsable que transfirió los datos.
Paso 7.
Para
efectos
transferencia,
de
demostrar
sea
ésta
que
la
nacional
o
Implementación de
las Medidas de
Seguridad
internacional, se realiza conforme a lo que
53
establece la Ley y su Reglamento, la carga de
Art. 69
la prueba recaerá, en todos los casos, en el
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
Cumplimiento
responsable que transfiere y en el receptor
Cotidiano de
de los datos personales.
Medidas de
Seguridad.
En
el caso de
transferencias
de
datos
personales entre sociedades controladoras,
subsidiarias o afiliadas bajo el control común
54
del mismo grupo del responsable, o a una
sociedad matriz o a cualquier sociedad del
Art. 70
1. Recomendación
General
Aspectos del marco de trabajo
4 Marco de Trabajo.
para la gestión efectiva del
riesgo.
mismo grupo del responsable, el mecanismo
para garantizar que el receptor de los datos
289
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
personales cumplirá con las disposiciones
previstas en la Ley, su Reglamento y demás
normativa aplicable, podrá ser la existencia
de normas internas de protección de datos
5 Proceso.
personales cuya observancia sea vinculante,
Procesos
para
la
gestión
efectiva del riesgo.
siempre y cuando éstas cumplan con lo
establecido en la Ley, su
Reglamento y
demás normativa aplicable.
Paso 7.
Implementación de
La
transferencia
deberá
formalizarse
las Medidas de
mediante algún mecanismo que permita
55
Seguridad
demostrar que el responsable transferente
Art. 73
Aplicables a los
comunicó
Art. 75
Datos Personales.
al
responsable
receptor
las
condiciones en las que el titular consintió el
Cumplimiento
tratamiento de sus datos personales.
Cotidiano de
NO APLICA
NO APLICA
Medidas de
Seguridad.
290
4.10 ISO GUIDE 72, Guidelines for the justification and development of management systems
standards.
Introducción. Esta guía proporciona los lineamientos para la justificación y evaluación de un proyecto estándar de un
sistema de gestión incluyendo: la visión de la evaluación de relevancia en el mercado, los procesos de desarrollo y
mantenimiento con una visión para asegurar su compatibilidad y mejora, y la terminología, estructura, y elementos
comunes a ser integrados.
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
RESPONSABLE
Política
B1 Política.
marco
para
de
establecer
trabajo
el
para
el
establecimiento de objetivos y
metas.
B2 Planeación.
Los responsables en el tratamiento de datos
personales, deberán observar los principios
1
de
licitud,
consentimiento,
información,
calidad, finalidad, lealtad, proporcionalidad y
Art. 6
Art. 9
1. Recomendación
General.
B3 Implementación y
Operación.
responsabilidad, previstos en la Ley.
Procesos
de
planeación
del
sistema de gestión.
Procesos de implementación y
operación
del
sistema
de
gestión.
Procesos para la evaluación del
B4 Desempeño.
desempeño
del
sistema
de
gestión.
Procesos para el mantenimiento
B5 Mejora.
y mejora continua del sistema
de gestión.
291
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
B6 Revisión Gerencial.
Proceso de revisión gerencial
del sistema de gestión.
LICITUD Y LEALTAD
Los datos personales deberán recabarse y
tratarse de manera lícita, privilegiando la
protección de los intereses del titular y la
expectativa
2
razonable
de
privacidad,
Política
sin
importar la fuente de la que se obtienen los
datos.
Art. 7
Art. 7
Art. 10
Art. 44
Paso 1. Alcance y
Objetivos.
B1.1
Política
y
Principios.
para
demostrar
el
compromiso de la organización
en
el
cumplimiento
de
los
requerimientos del sistema de
gestión.
La obtención de datos personales no debe
hacerse a través de medios engañosos o
fraudulentos.
CONSENTIMIENTO
El tratamiento de datos personales estará
B2.1 Identificación de
sujeto al consentimiento de su titular, salvo
necesidades,
las excepciones previstas por la Ley.
requerimientos
análisis
Los
3
datos
financieros
o
patrimoniales
requerirán consentimiento expreso de su
titular.
Art. 8
Art. 11
Paso 2. Política de
Art. 12
Gestión de Datos
Art. 15
Personales.
de
y
temas
críticos.
B2.2
Selección
de
temas significantes a
ser abordados.
Identificación de puntos que
deben
ser
controlados
y/o
mejorados para satisfacer a las
partes interesadas.
Priorización de las necesidades
y requerimientos identificados.
Cuando los datos personales se obtengan
personalmente o de manera directa de su
B2.3 Identificación de
Identificación de objetivos y
titular, el consentimiento deberá ser previo al
objetivos y metas.
metas del sistema de gestión.
tratamiento.
292
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
El responsable deberá facilitar al titular
4
medios sencillos y gratuitos para manifestar
Art. 8
Art. 16
su consentimiento expreso.
Identificador y
nombre
Paso 2. Política de
B2.6
Gestión de Datos
procesos
Personales.
Descripción
Objetivo de Control
Planeación
de
identificados.
B2.1 Identificación de
necesidades,
requerimientos
responsable
el
análisis
consentimiento expreso y por escrito del
críticos.
titular
5
deberá
para
obtener
su
de
los procesos operacionales a fin
de lograr los objetivos y metas
operacionales.
Tratándose de datos personales sensibles, el
Planeación de acuerdos para
y
temas
Identificación de puntos que
deben
ser
controlados
y/o
mejorados para satisfacer a las
partes interesadas.
tratamiento.
No podrán crearse bases de datos que
Art. 9
Art. 56
contengan datos personales sensibles, sin
Paso 2. Política de
B2.2
Gestión de Datos
temas significantes a
Personales.
Selección
de
ser abordados.
Priorización de las necesidades
y requerimientos identificados.
que se justifique la creación de las mismas
para
finalidades
legítimas,
concretas
y
acordes con las actividades o fines explícitos
que persigue el sujeto regulado.
B2.3 Identificación de
Identificación de objetivos y
objetivos y metas.
metas del sistema de gestión.
Paso 7.
Implementación de
las Medidas de
Para efectos de demostrar la obtención del
6
consentimiento,
recaerá,
en
responsable.
la
todos
carga
los
de
la
casos,
prueba
en
el
Seguridad
Art. 20
Aplicables a los
Datos Personales.
Cumplimiento
B2.6
Planeación
procesos
operacionales.
de
Planeación de acuerdos para
los procesos operacionales a fin
de lograr los objetivos y metas
identificados.
Cotidiano de
Medidas de
293
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Seguridad.
INFORMACIÓN
A
través
del
aviso
de
privacidad,
el
responsable tendrá la obligación de informar
a los titulares, los datos que recaba, las
finalidades necesarias y las que no lo son
para
la
relación
jurídica,
así
como
las
características principales de su tratamiento.
Cuando se traten datos personales como
7
parte de un proceso de toma de decisiones
sin que intervenga la valoración de una
persona
física,
el
responsable
Art. 14
Art. 15
Art. 23
Art. 112
deberá
Política
Paso 2. Política de
Gestión de Datos
Personales.
B1.1
Política
y
Principios.
para
demostrar
el
compromiso de la organización
en
el
cumplimiento
de
los
requerimientos del sistema de
gestión.
informar al titular que esta situación ocurre.
Si obtiene los datos de manera automática,
deberá informar al titular sobre el uso de
estas tecnologías y la forma en que podrá
deshabilitarlas.
Paso 7.
Cuando los datos personales sean obtenidos
directamente
8
del
titular,
el
aviso
Implementación de
de
privacidad debe ponerse a disposición de los
Art. 3, I
titulares a través de formatos impresos,
Art. 17
digitales, visuales, sonoros o cualquier otra
tecnología.
las Medidas de
Art. 27
Seguridad
Aplicables a los
Datos Personales.
Medidas necesarias de control
B3.1
Operacional.
Control
operacional
a
ser
implementadas para lograr los
objetivos y metas del sistema
de gestión.
Cumplimiento
294
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Cotidiano de
Medidas de
Seguridad.
Paso 7.
El aviso de privacidad
debe contener un
mecanismo,
el
para
que
titular
Implementación de
las Medidas de
pueda
manifestar su negativa al tratamiento de sus
9
datos
personales.
Cuando
los
datos
se
Art. 14
Art. 18
obtengan de manera indirecta del titular, el
Art. 29
Art. 32
responsable deberá darle a conocer el aviso
Medidas necesarias de control
Seguridad
Aplicables a los
Datos Personales.
B3.1
Control
Operacional.
a
ser
implementadas para lograr los
objetivos y metas del sistema
Cumplimiento
de gestión.
Cotidiano de
de privacidad y sus cambios.
operacional
Medidas de
Seguridad
Paso 7.
Implementación de
las Medidas de
Para efectos de demostrar la puesta a
disposición
10
del
aviso
de
privacidad
Seguridad
en
cumplimiento del principio de información, la
Art. 31
carga de la prueba recaerá, en todos los
Aplicables a los
Datos Personales.
Cumplimiento
casos, en el responsable.
B2.6
Planeación
de
procesos
Planeación de acuerdos para
los procesos operacionales a fin
de lograr los objetivos y metas
operacionales.
identificados.
Cotidiano de
Medidas de
Seguridad.
CALIDAD
El responsable procurará que los datos
11
personales contenidos en las bases de datos
sean
exactos,
completos,
pertinentes,
Art. 11
Art. 36
Paso 2. Política de
B2.6
Gestión de Datos
procesos
los procesos operacionales a fin
operacionales.
de lograr los objetivos y metas
Personales.
Planeación
de
Planeación de acuerdos para
295
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
correctos y actualizados según se requiera
identificados.
para el cumplimiento de la finalidad para la
cual son tratados.
Cuando los datos de carácter personal hayan
dejado
de
ser
necesarios
para
el
cumplimiento de las finalidades previstas por
el aviso de privacidad y las disposiciones
legales aplicables, deberán ser cancelados,
previo bloqueo de los mismos.
12
Art. 3 III
El responsable de la base de datos estará
Art. 11
Art. 37
de
B2.6
Gestión de Datos
procesos
Personales.
obligado a eliminar la información relativa al
incumplimiento
Paso 2. Política de
Planeación
de
Planeación de acuerdos para
los procesos operacionales a fin
de lograr los objetivos y metas
operacionales.
identificados.
obligaciones
contractuales, una vez que transcurra un
plazo de setenta y dos meses, contado a
partir de la fecha calendario en que se
presente el mencionado incumplimiento.
El responsable establecerá y documentará
13
procedimientos para la conservación y, en su
caso, bloqueo y supresión de los datos
personales.
Art. 38
Paso 2. Política de
B2.6
Gestión de Datos
procesos
Personales.
Planeación
operacionales.
de
Planeación de acuerdos para
los procesos operacionales a fin
de lograr los objetivos y metas
identificados.
296
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
Implementación de
las Medidas de
Seguridad
Al responsable le corresponde demostrar que
14
los datos personales se conservan, o en su
Art. 39
caso, bloquean, suprimen o cancelan.
Aplicables a los
Datos Personales.
Cumplimiento
B2.6
Planeación
de
procesos
Planeación de acuerdos para
los procesos operacionales a fin
de lograr los objetivos y metas
operacionales.
identificados.
Cotidiano de
Medidas de
Seguridad.
FINALIDAD
El tratamiento de datos personales deberá
limitarse al cumplimiento de las finalidades
previstas en el aviso de privacidad.
Si el responsable pretende tratar los datos
para un fin distinto al establecido, deberá
obtener nuevamente el consentimiento del
15
titular.
Art. 12
Art. 40
Paso 2. Política de
B2.6
Art. 42
Gestión de Datos
procesos
Art. 43
Personales.
El titular podrá oponerse o revocar su
Planeación
operacionales.
de
Planeación de acuerdos para
los procesos operacionales a fin
de lograr los objetivos y metas
identificados.
consentimiento para las finalidades distintas
a las que dieron origen a la relación jurídica,
sin que ello tenga como consecuencia la
conclusión del tratamiento.
PROPORCIONALIDAD
297
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
El tratamiento de datos personales será el
que resulte necesario, adecuado y relevante
en relación con las finalidades previstas en el
16
aviso de privacidad. En particular para datos
Art. 13
personales sensibles, el responsable deberá
Art. 45
Art. 46
Paso 2. Política de
B2.6
Gestión de Datos
procesos
Personales.
Planeación
de
Planeación de acuerdos para
los procesos operacionales a fin
de lograr los objetivos y metas
operacionales.
identificados.
limitar el periodo de tratamiento al mínimo
indispensable.
CONFIDENCIALIDAD
El responsable o terceros que intervengan en
Formalización
cualquier fase del tratamiento de datos
17
personales deberán guardar confidencialidad
respecto de éstos, obligación que subsistirá
Art. 21
Art. 9
entre
Gestión de Datos
con
contratan servicios que tienen
proveedores
y
contratistas.
quienes
acuerdos
B3.6 Relacionamiento
Personales.
aun después de finalizar sus relaciones con el
de
Paso 2. Política de
proveen
y
un impacto en el desempeño
de la organización.
titular o, en su caso, con el responsable.
RESPONSABILIDAD
El responsable tiene la obligación de velar y
B2.1 Identificación de
responder por el tratamiento de los datos
necesidades,
personales en su posesión, debiendo adoptar
requerimientos
análisis
las medidas necesarias.
18
El responsable deberá tomar las medidas
necesarias y suficientes para garantizar que el
aviso de privacidad dado a conocer al titular,
sea respetado en todo momento por él o
por terceros con los que guarde alguna
relación jurídica.
Art. 14
Art. 47
de
Paso 2. Política de
críticos.
Gestión de Datos
B2.2
Personales.
y
temas
Selección
de
temas significantes a
ser abordados.
Identificación de puntos que
deben
ser
controlados
y/o
mejorados para satisfacer a las
partes interesadas.
Priorización de las necesidades
y requerimientos identificados.
B2.3 Identificación de
Identificación de objetivos y
objetivos y metas.
metas del sistema de gestión.
298
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Identificación
de
recursos
B2.4 Identificación de
(humanos,
recursos.
infraestructura) para el sistema
financieros,
de
de gestión.
B2.5 Identificación de
estructura
organizacional,
roles,
responsabilidades,
y
autoridades.
B2.6
Planeación
de
procesos
imprevistos para los
acontecimientos
B2.1 Identificación de
necesidades,
requerimientos
19
para
garantizar
el
debido
tratamiento,
privilegiando los intereses del titular y la
expectativa razonable de privacidad.
Art. 14
Art. 48
Análisis de Riesgo
de los Datos
Personales.
de
y
temas
críticos.
B2.2
de
la
organización para la operación
del sistema de gestión.
Planeación de acuerdos para
los procesos operacionales a fin
Acuerdos
necesarios
manejar
para
emergencias
previsibles.
previsibles.
análisis
dentro
identificados.
B2.7 Preparación de
Paso 5. Realizar el
interrelaciones
de lograr los objetivos y metas
operacionales.
Los responsables deberán adoptar medidas
Roles, responsabilidades, y sus
Selección
de
temas significantes a
ser abordados.
Identificación de puntos que
deben
ser
controlados
y/o
mejorados para satisfacer a las
partes interesadas.
Priorización de las necesidades
y requerimientos identificados.
B2.3 Identificación de
Identificación de objetivos y
objetivos y metas.
metas del sistema de gestión.
299
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Identificación
de
recursos
B2.4 Identificación de
(humanos,
recursos.
infraestructura) para el sistema
financieros,
de
de gestión.
B2.5 Identificación de
estructura
organizacional,
roles,
responsabilidades,
y
autoridades.
B2.6
Planeación
de
procesos
Roles, responsabilidades, y sus
interrelaciones
20
obligatorios y exigibles al interior de la
Art. 48 - I
organización.
Gestión de Datos
Personales.
B1.1
Política
la
organización para la operación
del sistema de gestión.
Planeación de acuerdos para
los procesos operacionales a fin
identificados.
Política
Paso 2. Política de
de
de lograr los objetivos y metas
operacionales.
Elaborar políticas y programas de privacidad
dentro
y
Principios.
para
demostrar
el
compromiso de la organización
en
el
cumplimiento
de
los
requerimientos del sistema de
gestión.
Poner
21
en
práctica
un
programa
de
capacitación, actualización, y concientización
del
personal
sobre
las
obligaciones
en
Art. 48 - II
materia de protección de datos personales.
Establecer
22
un
sistema
de
supervisión
Continua y
Capacitación.
B3.2
Gestión
de
recursos humanos.
empleados,
terceros,
entre
otros, incluyendo revisión de
así como su entrenamiento.
y
externas para comprobar el cumplimiento de
contratistas,
de
sus cualidades y capacidades
Capacitación.
vigilancia interna, verificaciones o auditorías
las políticas de privacidad.
Gestión
Paso 9. Mejora
Mecanismos por los cuales la
Art. 48 - III
Paso 8. Revisiones y
Auditoría.
B4.1
Monitoreo
medición.
y
organización
desempeño
mide
de
una
su
manera
continua.
300
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Determinación
de
no
B4.2 Análisis y manejo
conformidades en el sistema de
de no conformidades.
gestión y la forma en que son
tratadas.
B4.3
Auditorías
del
sistema.
Proceso
de
Identificación
Paso 3. Establecer
23
Destinar recursos para la instrumentación de
los programas y políticas de privacidad.
Funciones y
Art. 48 - IV
Datos Personales.
del
de
recursos
B2.4 Identificación de
(humanos,
recursos.
infraestructura) para el sistema
financieros,
de
de gestión.
Obligaciones de
Quienes Traten
auditoría
sistema de gestión.
Gestión
operacional
y
de
B3.3 Gestión de otros
mantenimiento de recursos que
recursos.
tienen
un
impacto
en
el
desempeño de la organización.
B2.1 Identificación de
necesidades,
requerimientos
análisis
Instrumentar un procedimiento para que se
Paso 5. Realizar el
atienda el riesgo para la protección de datos
24
personales por la implementación de nuevos
productos, servicios, tecnologías y modelos
de negocios, así como para mitigarlos.
Art. 48 - V
Análisis de Riesgo
de los Datos
Personales.
de
y
temas
críticos.
B2.2
Selección
de
temas significantes a
ser abordados.
Identificación de puntos que
deben
ser
controlados
y/o
mejorados para satisfacer a las
partes interesadas.
Priorización de las necesidades
y requerimientos identificados.
B2.3 Identificación de
Identificación de objetivos y
objetivos y metas.
metas del sistema de gestión.
301
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Identificación
de
recursos
B2.4 Identificación de
(humanos,
recursos.
infraestructura) para el sistema
financieros,
de
de gestión.
B2.5 Identificación de
estructura
organizacional,
roles,
responsabilidades,
y
autoridades.
B2.6
Planeación
de
procesos
Roles, responsabilidades, y sus
interrelaciones
dentro
de
la
organización para la operación
del sistema de gestión.
Planeación de acuerdos para
los procesos operacionales a fin
de lograr los objetivos y metas
operacionales.
identificados.
B2.7 Preparación de
imprevistos para los
acontecimientos
Acuerdos
necesarios
manejar
para
emergencias
previsibles.
previsibles.
Mecanismos por los cuales la
B4.1
Monitoreo
y
medición.
organización
desempeño
mide
de
una
su
manera
continua.
Revisar
25
periódicamente
las
políticas
y
programas de seguridad para determinar las
modificaciones que se requieran.
Art. 48 - VI
Paso 8. Revisiones y
Auditoría.
Determinación
de
no
B4.2 Análisis y manejo
conformidades en el sistema de
de no conformidades.
gestión y la forma en que son
tratadas.
B4.3
Auditorías
sistema.
del
Proceso
de
auditoría
del
sistema de gestión.
302
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
Implementación de
las Medidas de
Establecer
26
procedimientos
para
recibir
responder dudas y quejas de los titulares de
Medidas necesarias de control
Seguridad
y
Art. 48 - VII
los datos personales.
Aplicables a los
Datos Personales.
B3.1
Control
Operacional.
operacional
a
ser
implementadas para lograr los
objetivos y metas del sistema
Cumplimiento
de gestión.
Cotidiano de
Medidas de
Seguridad.
Disponer
27
de
mecanismos
para
el
cumplimiento de las políticas y programas de
privacidad, así como de sanciones por su
Art. 48 - VIII
incumplimiento.
de acciones técnicas y administrativas que
permitan garantizar al responsable el
Operacional.
Control
rastrear a los datos personales durante su
Identificación de las
Art. 48 - X
medidas de
seguridad y Análisis
de Brecha.
a
ser
implementadas para lograr los
de gestión.
Medidas necesarias de control
B3.1
Control
Operacional.
operacional
a
ser
implementadas para lograr los
objetivos y metas del sistema
de gestión.
Paso 6.
datos personales, es decir acciones, medidas
operacional
objetivos y metas del sistema
de Brecha.
Establecer medidas para la trazabilidad de los
permiten
medidas de
seguridad y Análisis
que establece la Ley y su Reglamento.
tratamiento.
Quienes Traten
Identificación de las
Art. 48 - IX
cumplimiento de los principios y obligaciones
y procedimientos técnicos que
B3.1
Paso 6.
los datos personales, es decir, un conjunto
29
Obligaciones de
Datos Personales.
Establecer medidas para el aseguramiento de
28
Medidas necesarias de control
Paso 3. Funciones y
Medidas necesarias de control
B3.1
Operacional.
Control
operacional
a
ser
implementadas para lograr los
objetivos y metas del sistema
de gestión.
303
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
Implementación de
Todo responsable deberá designar a una
persona,
o
personales,
30
departamento
quien
dará
de
las Medidas de
datos
trámite
a
Seguridad
las
solicitudes de los titulares, para el ejercicio
Aplicables a los
Art. 30
Datos Personales.
de los derechos a que se refiere la Ley.
Cumplimiento
Asimismo fomentará la protección de datos
Cotidiano de
personales al interior de la organización.
B2.5 Identificación de
estructura
organizacional,
roles,
responsabilidades,
y
autoridades.
Roles, responsabilidades, y sus
interrelaciones
dentro
de
la
organización para la operación
del sistema de gestión.
Medidas de
Seguridad.
SEGURIDAD
Todo
responsable
tratamiento
de
que
datos
lleve
a
personales
cabo
deberá
establecer y mantener medidas de seguridad
administrativas,
permitan
técnicas
proteger
los
y
físicas
datos
que
personales
contra daño, pérdida, alteración, destrucción
o el uso, acceso o tratamiento no autorizado.
Paso 6.
Art. 4
31
No
adoptarán
medidas
de
seguridad
menores a aquellas que mantengan para el
manejo de su información.
Art. 19
Identificación de las
Art. 9
medidas de
Art. 57
seguridad y Análisis
de Brecha.
Medidas necesarias de control
B3.1
Operacional.
Control
operacional
a
ser
implementadas para lograr los
objetivos y metas del sistema
de gestión.
Cuando el encargado se encuentre ubicado
en territorio mexicano, le serán aplicables las
disposiciones relativas a las medidas de
seguridad contenidas en el Capítulo III de
Reglamento.
304
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
B2.1 Identificación de
necesidades,
requerimientos
El responsable determinará las medidas de
análisis
seguridad aplicables a los datos personales
temas
críticos.
que trate, considerando el riesgo existente,
las posibles consecuencias para los titulares,
B2.2
la sensibilidad de los datos y el desarrollo
temas significantes a
tecnológico.
ser abordados.
De
manera
adicional,
el
responsable
procurará tomar en cuenta los siguientes
I. El número de titulares;
Art. 19
II. Las vulnerabilidades previas ocurridas en
los sistemas de tratamiento;
III.
El
riesgo
por
el
valor
los datos personales tratados para una
persona
no
autorizada
de
para
su
posesión, y
IV. Demás factores que puedan incidir en el
nivel de riesgo o que resulten de otras leyes
o regulación aplicable al responsable.
ser
controlados
y/o
mejorados para satisfacer a las
partes interesadas.
Priorización de las necesidades
y requerimientos identificados.
B2.3 Identificación de
Identificación de objetivos y
objetivos y metas.
metas del sistema de gestión.
Art. 60
Identificación
Análisis de Riesgo
de los Datos
Personales.
de
recursos
B2.4 Identificación de
(humanos,
recursos.
infraestructura) para el sistema
financieros,
de
de gestión.
potencial
cuantitativo o cualitativo que pudieran tener
tercera
Selección
deben
Paso 5. Realizar el
elementos:
32
de
y
Identificación de puntos que
B2.5 Identificación de
estructura
organizacional,
roles,
responsabilidades,
y
autoridades.
B2.6
Planeación
de
Roles, responsabilidades, y sus
interrelaciones
dentro
de
la
organización para la operación
del sistema de gestión.
Planeación de acuerdos para
procesos
los procesos operacionales a fin
operacionales
de lograr los objetivos y metas
Previsibles.
identificados.
305
N°
33
Requerimiento normativo
Elaborar un inventario de datos personales y
de los sistemas de tratamiento.
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Paso 4. Elaborar un
Art. 61 - I
Inventario de Datos
Personales.
Paso 3. Establecer
34
Determinar las funciones y obligaciones de
las personas que traten datos personales.
Funciones y
Art. 61 - II
Identificador y
nombre
Descripción
Objetivo de Control
B2.7 Preparación de
Acuerdos
imprevistos para los
manejar
acontecimientos.
previsibles.
Documentación
y su control.
B2.5 Identificación de
estructura
organizacional,
roles,
Quienes Traten
responsabilidades,
y
autoridades.
requerimientos
análisis
de
y
temas
críticos.
B2.2
35
Selección
de
Contar con un análisis de riesgos de datos
Paso 5. Realizar el
temas significantes a
personales
Análisis de Riesgo
ser abordados.
en
identificar
peligros y estimar los riesgos a los datos
personales.
Art. 61 - III
de los Datos
Personales.
son
esenciales
para
y
la
operación
exitosas del sistema de gestión.
necesidades,
consiste
emergencias
implementación
B2.1 Identificación de
que
para
Manejo de documentos que
B3.4
Obligaciones de
Datos Personales.
necesarios
Roles, responsabilidades, y sus
interrelaciones
dentro
de
la
organización para la operación
del sistema de gestión.
Identificación de puntos que
deben
ser
controlados
y/o
mejorados para satisfacer a las
partes interesadas.
Priorización de las necesidades
y requerimientos identificados.
B2.3 Identificación de
Identificación de objetivos y
objetivos y metas.
metas del sistema de gestión.
Identificación
de
recursos
B2.4 Identificación de
(humanos,
financieros,
de
recursos.
infraestructura) para el sistema
de gestión.
B2.5 Identificación de
Roles, responsabilidades, y sus
estructura
interrelaciones
dentro
de
la
306
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
organizacional,
roles,
responsabilidades,
y
organización para la operación
del sistema de gestión.
autoridades.
B2.6
Planeación
de
procesos
identificados.
B2.7 Preparación de
imprevistos para los
acontecimientos
previsibles.
Paso 6.
36
las
medidas
de
seguridad
aplicables a los datos personales e identificar
Identificación de las
Art. 61 - IV
aquéllas implementadas de manera efectiva.
medidas de
seguridad y Análisis
B3.1
Control
Operacional.
existentes y aquéllas faltantes que resultan
Identificación de las
Art. 61 - V
necesarias para la protección de los datos
medidas de
seguridad y Análisis
personales.
Elaborar
un
plan
de
trabajo
para
la
implementación de las medidas de seguridad
faltantes, derivadas del análisis de brecha.
las Medidas de
Art. 61 - VI
B3.1
Control
Operacional.
Aplicables a los
Plan de Trabajo
operacional
a
ser
implementadas para lograr los
operacional
a
ser
implementadas para lograr los
objetivos y metas del sistema
de gestión.
Mecanismo para la eliminación
B5.1
Acción
correctiva.
de
las
causas
de
las
no
conformidades en el sistema de
gestión.
Seguridad
Datos Personales.
previsibles.
Medidas necesarias de control
Paso 7.
38
para
emergencias
de gestión.
de Brecha.
Implementación de
necesarios
manejar
objetivos y metas del sistema
Paso 6.
la diferencia de las medidas de seguridad
37
Acuerdos
Medidas necesarias de control
de Brecha.
Realizar el análisis de brecha que consiste en
los procesos operacionales a fin
de lograr los objetivos y metas
operacionales.
Establecer
Planeación de acuerdos para
B5.2
preventiva.
Acción
Mecanismos para eliminar las
causas potenciales de las no
conformidades en el sistema de
307
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
para la
gestión.
Implementación de
las Medidas de
Provisiones realizadas para la
Seguridad Faltantes.
B5.3 Mejora continua.
mejora continua del sistema de
gestión.
Mecanismos por los cuales la
B4.1
Monitoreo
y
medición.
organización
mide
desempeño
de
una
su
manera
continua.
39
Llevar a cabo revisiones o auditorías.
Art. 61 - VII
Paso 8. Revisiones y
Auditoría.
Determinación
de
no
B4.2 Análisis y manejo
conformidades en el sistema de
de no conformidades.
gestión y la forma en que son
tratadas.
B4.3
Auditorías
del
sistema.
40
al
personal
que
efectúe
el
tratamiento de datos personales.
Art. 61 - VIII
Continua y
Capacitación.
Gestión
B3.2
Gestión
de
recursos humanos.
Capacitación.
41
42
registro de
los medios de
almacenamiento de los datos personales.
Contar con una relación de las medidas de
seguridad.
Análisis de Riesgo
Art. 61 - IX
de los Datos
Personales.
Art. 61
3. Acciones a
implementar para la
auditoría
del
de
contratistas,
empleados,
terceros,
entre
otros, incluyendo revisión de
sus cualidades y capacidades
así como su entrenamiento.
Paso 5. Realizar el
Realizar un
de
sistema de gestión.
Paso 9. Mejora
Capacitar
Proceso
Manejo de documentos que
B3.4
Documentación
y su control.
son
esenciales
implementación
para
y
la
operación
exitosas del sistema de gestión.
B3.4
Documentación
y su control.
Manejo de documentos que
son
esenciales
para
la
308
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
seguridad de los
implementación
y
operación
datos personales
exitosas del sistema de gestión.
documentadas.
Actualizar las medidas de seguridad cuando:
Mecanismos por los cuales la
B4.1
I. Se modifiquen las medidas o procesos de
Monitoreo
y
medición.
organización
desempeño
seguridad para su mejora continua, derivado
mide
de
una
su
manera
continua.
de las revisiones a la política de seguridad
Determinación
del responsable.
43
de
no
II. Se produzcan modificaciones sustanciales
B4.2 Análisis y manejo
conformidades en el sistema de
en el tratamiento que deriven en un cambio
de no conformidades.
gestión y la forma en que son
del nivel de riesgo.
III. Se vulneren los sistemas de tratamiento,
Art. 62
tratadas.
Paso 8. Revisiones y
Auditoría.
de conformidad con lo dispuesto en el
artículo 20 de la Ley y 63 de su Reglamento.
IV.
Exista
una
afectación
a
los
datos
personales distinta a las anteriores.
B4.3
Auditorías
En el caso de datos personales sensibles, los
sistema.
del
Proceso
de
auditoría
del
sistema de gestión.
responsables procurarán revisar y, en su caso,
actualizar las relaciones correspondientes una
vez al año.
VULNERACIONES A LA SEGURIDAD
309
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Las vulneraciones de seguridad ocurridas en
cualquier fase del tratamiento que afecten de
Paso 8. Revisiones y
forma significativa los derechos patrimoniales
44
o morales de los titulares, serán informadas
de forma inmediata por el responsable al
Art. 20
Art. 63
Art. 64
titular, a fin de que este último pueda tomar
Auditoría.
Vulneraciones a la
Acuerdos
B3.5 Comunicación.
Seguridad de la
para
comunicar
aspectos del sistema de gestión
hacia fuentes externas.
Información.
las medidas correspondientes a la defensa de
sus derechos.
En caso de que ocurra una vulneración a la
seguridad
de
los
datos
personales,
el
responsable deberá informar al titular al
menos lo siguiente:
Paso 8. Revisiones y
I. La naturaleza del incidente.
45
II. Los datos personales comprometidos.
III. Las recomendaciones al titular acerca de
Auditoría.
Art. 65
Vulneraciones a la
Acuerdos
B3.5 Comunicación
Seguridad de la
las medidas que éste pueda adoptar para
para
comunicar
aspectos del sistema de gestión
hacia fuentes externas
Información.
proteger sus intereses.
IV. Las acciones correctivas realizadas de
forma inmediata.
V. Los medios donde puede obtener más
información al respecto.
En caso de que ocurra una vulneración a los
datos
46
personales,
el responsable
analizar las causas por las cuales se presentó
e
implementar
las
acciones
Paso 8. Revisiones y
deberá
correctivas,
preventivas y de mejora para adecuar las
medidas de seguridad correspondientes, a
Auditoría.
Art. 66
Vulneraciones a la
Seguridad de la
Acuerdos
B3.5 Comunicación.
para
comunicar
aspectos del sistema de gestión
hacia fuentes externas.
Información.
310
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
efecto de evitar que la vulneración se repita.
ENCARGADO
El
encargado
tendrá
las
siguientes
obligaciones respecto del tratamiento que
realice por cuenta del responsable:
I. Tratar únicamente los datos personales
conforme a las instrucciones del responsable.
II. Abstenerse de tratar los datos personales
para finalidades distintas a las instruidas por
el responsable.
III. Implementar las medidas de seguridad
Formalización
conforme a la Ley, su Reglamento y las
47
demás disposiciones aplicables.
Art. 50
IV. Guardar confidencialidad respecto de los
datos personales tratados.
1. Recomendación
General.
de
entre
con
contratan servicios que tienen
proveedores
contratistas.
y
quienes
acuerdos
B3.6 Relacionamiento
proveen
y
un impacto en el desempeño
de la organización.
V. Suprimir los datos personales objeto de
tratamiento una vez cumplida la relación
jurídica
con
el
responsable
o
por
instrucciones del responsable, siempre y
cuando no exista una previsión legal que
exija la conservación de los datos personales.
VI.
Abstenerse
de
transferir
los
datos
personales salvo en el caso de que el
responsable
así
lo
determine,
la
311
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
comunicación derive de una subcontratación,
o
cuando
así
lo
requiera
la
autoridad
competente.
SUBCONTRATACIONES
Paso 7.
Implementación de
La
relación
entre
el
responsable
y
el
las Medidas de
encargado deberá estar establecida mediante
48
cláusulas contractuales u otro instrumento
jurídico que decida el responsable, que
Seguridad
Art. 51
Aplicables a los
Datos Personales.
permita acreditar su existencia, alcance y
Cumplimiento
contenido.
Cotidiano de
Formalización
de
B3.6 Relacionamiento
entre
con
contratan servicios que tienen
proveedores
y
contratistas.
quienes
acuerdos
proveen
y
un impacto en el desempeño
de la organización.
Medidas de
Seguridad.
Toda subcontratación de servicios por parte
del encargado que implique el tratamiento
de datos personales deberá ser autorizada
Paso 7.
por el responsable, y se realizará en nombre
Implementación de
y por cuenta de este último.
Una
49
vez
obtenida
la
las Medidas de
autorización,
el
Seguridad
encargado deberá formalizar la relación con
Art. 54
Aplicables a los
el
Art. 55
Datos Personales.
subcontratado
a
través
de
cláusulas
contractuales u otro instrumento jurídico que
Cumplimiento
permita acreditar su existencia, alcance y
Cotidiano de
contenido.
Medidas de
En caso de que la subcontratación no haya
Seguridad.
Formalización
de
entre
con
contratan servicios que tienen
proveedores
contratistas.
y
quienes
acuerdos
B3.6 Relacionamiento
proveen
y
un impacto en el desempeño
de la organización.
sido prevista en cláusulas contractuales, el
encargado deberá obtener la autorización
312
N°
Requerimiento normativo
correspondiente
del
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
responsable
previamente.
La
obligación
de
acreditar
que
la
subcontratación se realizó con autorización
del responsable corresponderá al encargado.
CÓMPUTO EN LA NUBE
Para el tratamiento de datos personales en
servicios, aplicaciones e infraestructura en el
denominado cómputo en la nube, en los que
el responsable se adhiera a los mismos
mediante condiciones o cláusulas generales
de contratación, sólo podrá utilizar aquellos
servicios en los que el proveedor cumpla, al
Paso 7.
menos, con lo siguiente:
Implementación de
las Medidas de
50
a) Tener y aplicar políticas de protección de
Seguridad
datos personales afines a los principios y
Aplicables a los
deberes aplicables que establece la Ley y su
Reglamento;
Art. 52 - I
Datos Personales.
Cumplimiento
Cotidiano de
b) Transparentar las subcontrataciones que
Medidas de
involucren la información sobre la que se
Seguridad.
Formalización
de
entre
con
contratan servicios que tienen
proveedores
contratistas.
y
quienes
acuerdos
B3.6 Relacionamiento
proveen
y
un impacto en el desempeño
de la organización.
presta el servicio;
c) Abstenerse de incluir condiciones en la
prestación del servicio que le autoricen o
permitan asumir la titularidad o propiedad de
la información sobre la que presta el servicio,
313
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
y
d) Guardar confidencialidad respecto de los
datos personales sobre los que se preste el
servicio.
Para el tratamiento de datos personales en
servicios, aplicaciones e infraestructura en el
denominado cómputo en la nube, en los que
el responsable se adhiera a los mismos
mediante condiciones o cláusulas generales
de contratación, sólo podrá utilizar aquellos
servicios en los que el proveedor cuente con
Paso 7.
mecanismos, al menos, para:
Implementación de
las Medidas de
a) Dar a conocer cambios en sus políticas de
Seguridad
privacidad o condiciones del servicio que
51
presta;
Art. 52 - II
b) Permitir al responsable limitar el tipo de
tratamiento de los datos personales sobre los
que se presta el servicio;
c)
Establecer
y
mantener
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
Formalización
de
entre
con
contratan servicios que tienen
proveedores
contratistas.
y
quienes
acuerdos
B3.6 Relacionamiento
proveen
y
un impacto en el desempeño
de la organización.
Medidas de
Seguridad.
medidas
de
seguridad adecuadas para la protección de
los datos personales sobre los que se preste
el servicio;
d) Garantizar la supresión de los datos
314
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
personales una vez que haya concluido el
servicio prestado al responsable, y que este
último haya podido recuperarlos, y
e) Impedir el acceso a los datos personales a
personas que no cuenten con privilegios de
acceso, o bien en caso de que sea a solicitud
fundada
y
competente,
motivada
informar
de
de
autoridad
ese
hecho
al
responsable.
TRANSFERENCIAS
Cuando el responsable pretenda transferir los
datos personales a terceros nacionales o
extranjeros, distintos del encargado, deberá
Paso 7.
comunicar a éstos el aviso de privacidad y las
Implementación de
finalidades a las que el titular sujetó su
las Medidas de
tratamiento.
52
El tratamiento de los datos se hará conforme
a lo convenido en el aviso de privacidad, el
cual contendrá una cláusula en la que se
indique
si
titular
o
no
Art. 71
Aplicables a los
Art. 72
Datos Personales.
Art. 74
Cumplimiento
Cotidiano de
transferencia de sus datos, de igual manera,
Medidas de
el tercero receptor, asumirá las mismas
Seguridad.
que
acepta
Seguridad
la
obligaciones
el
Art. 36
Art. 68
correspondan
Formalización
de
B3.6 Relacionamiento
entre
con
contratan servicios que tienen
proveedores
contratistas.
y
quienes
acuerdos
proveen
y
un impacto en el desempeño
de la organización.
al
responsable que transfirió los datos.
315
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
Para
efectos
transferencia,
de
demostrar
sea
ésta
que
la
nacional
o
Implementación de
las Medidas de
Seguridad
internacional, se realiza conforme a lo que
53
establece la Ley y su Reglamento, la carga de
Art. 69
la prueba recaerá, en todos los casos, en el
Aplicables a los
Datos Personales.
Cumplimiento
responsable que transfiere y en el receptor
Formalización
con
contratan servicios que tienen
proveedores
y
contratistas.
quienes
acuerdos
entre
proveen
y
un impacto en el desempeño
de la organización.
Cotidiano de
de los datos personales.
de
B3.6 Relacionamiento
Medidas de
Seguridad.
Política
En
el caso
de
transferencias
de
datos
B1 Política.
personales entre sociedades controladoras,
del mismo grupo del responsable, o a una
B2 Planeación.
sociedad matriz o a cualquier sociedad del
mismo grupo del responsable, el mecanismo
B3 Implementación y
para garantizar que el receptor de los datos
personales cumplirá con las disposiciones
previstas en la Ley, su Reglamento y demás
normativa aplicable, podrá ser la existencia
para
de
establecer
trabajo
el
para
el
establecimiento de objetivos y
metas.
subsidiarias o afiliadas bajo el control común
54
marco
Art. 70
1. Recomendación
Operación
General
Procesos
de
planeación
del
sistema de gestión.
Procesos de implementación y
operación
del
sistema
de
gestión.
Procesos para la evaluación del
B4 Desempeño.
desempeño
del
sistema
de
de normas internas de protección de datos
gestión.
personales cuya observancia sea vinculante,
Procesos para el mantenimiento
siempre y cuando éstas cumplan con lo
establecido en la Ley, su
demás normativa aplicable.
B5 Mejora.
Reglamento y
y mejora continua del sistema
de gestión.
B6 Revisión Gerencial.
Proceso de revisión gerencial
del sistema de gestión.
316
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
Implementación de
La
transferencia
deberá
formalizarse
las Medidas de
mediante algún mecanismo que permita
55
Seguridad
demostrar que el responsable transferente
Art. 73
Aplicables a los
comunicó
Art. 75
Datos Personales.
al
responsable
receptor
las
condiciones en las que el titular consintió el
Cumplimiento
tratamiento de sus datos personales.
Cotidiano de
Formalización
de
entre
con
contratan servicios que tienen
proveedores
contratistas.
y
quienes
acuerdos
B3.6 Relacionamiento
proveen
y
un impacto en el desempeño
de la organización.
Medidas de
Seguridad.
317
4.11 ISO GUIDE 73, Risk management – Vocabulary.
Introducción. El estándar proporciona las definiciones de los términos genéricos relacionados con la gestión del riesgo.
El ISO Guide 73 promueve una base común de entendimiento y un enfoque coherente para la descripción de actividades
y el uso uniforme de conceptos utilizados en procesos y marcos de trabajo para la gestión del riesgo.
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
RESPONSABLE
2.1
Gestión
del
Riesgo.
Los responsables en el tratamiento de datos
personales, deberán observar los principios
1
de
licitud,
consentimiento,
información,
Art. 6
Art. 9
calidad, finalidad, lealtad, proporcionalidad y
1. Recomendación
General.
para
dirigir
y
controlar a una organización
con respecto al riesgo.
3.4.1 Evaluación del
Proceso
Riesgo.
análisis, y evaluación del riesgo.
3.5.1
Identificación
del Riesgo.
3.6.1
responsabilidad, previstos en la Ley.
Actividades
Análisis
de
Proceso
identificación,
de
encontrar,
reconocer, y describir riesgos.
del
Proceso
de
entender
y
Riesgo.
determinar el nivel de riesgo.
3.7.1 Evaluación del
Proceso
Riesgo.
magnitud del riesgo.
NO APLICA
NO APLICA
para
determinar
la
LICITUD Y LEALTAD
Los datos personales deberán recabarse y
tratarse de manera lícita, privilegiando la
2
protección de los intereses del titular y la
expectativa
razonable
de
privacidad,
sin
Art. 7
Art. 7
Art. 10
Art. 44
Paso 1. Alcance y
Objetivos.
importar la fuente de la que se obtienen los
318
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
datos.
La obtención de datos personales no debe
hacerse a través de medios engañosos o
fraudulentos.
CONSENTIMIENTO
El tratamiento de datos personales estará
sujeto al consentimiento de su titular, salvo
las excepciones previstas por la Ley.
Los
3
datos
financieros
o
patrimoniales
requerirán consentimiento expreso de su
titular.
Art. 8
Art. 11
Paso 2. Política de
Art. 12
Gestión de Datos
Art. 15
Personales.
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Cuando los datos personales se obtengan
personalmente o de manera directa de su
titular, el consentimiento deberá ser previo al
tratamiento.
El responsable deberá facilitar al titular
4
medios sencillos y gratuitos para manifestar
Paso 2. Política de
Art. 8
Art. 16
su consentimiento expreso.
Gestión de Datos
Personales.
Tratándose de datos personales sensibles, el
responsable
deberá
obtener
el
consentimiento expreso y por escrito del
5
titular
para
su
tratamiento.
Paso 2. Política de
Art. 9
Art. 56
Gestión de Datos
Personales.
No podrán crearse bases de datos que
contengan datos personales sensibles, sin
319
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
que se justifique la creación de las mismas
para
finalidades
legítimas,
concretas
y
acordes con las actividades o fines explícitos
que persigue el sujeto regulado.
Paso 7.
Implementación de
las Medidas de
Para efectos de demostrar la obtención del
6
consentimiento,
recaerá,
en
la
carga
todos
los
de
la
casos,
Seguridad
prueba
en
Art. 20
el
responsable.
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
INFORMACIÓN
A
través
del
aviso
de
privacidad,
el
responsable tendrá la obligación de informar
a los titulares, los datos que recaba, las
finalidades necesarias y las que no lo son
para
la
relación
jurídica,
así
como
las
características principales de su tratamiento.
7
Cuando se traten datos personales como
parte de un proceso de toma de decisiones
Art. 14
Art. 15
Art. 23
Art. 112
Paso 2. Política de
Gestión de Datos
Personales.
sin que intervenga la valoración de una
persona
física,
el
responsable
deberá
informar al titular que esta situación ocurre.
Si obtiene los datos de manera automática,
320
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
deberá informar al titular sobre el uso de
estas tecnologías y la forma en que podrá
deshabilitarlas.
Paso 7.
Implementación de
las Medidas de
Cuando los datos personales sean obtenidos
directamente
8
del
titular,
el
aviso
Seguridad
de
privacidad debe ponerse a disposición de los
Art. 3, I
titulares a través de formatos impresos,
Art. 17
Art. 27
digitales, visuales, sonoros o cualquier otra
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Cumplimiento
tecnología.
Cotidiano de
Medidas de
Seguridad.
Paso 7.
El aviso de privacidad
debe contener un
mecanismo,
el
para
que
titular
Implementación de
las Medidas de
pueda
manifestar su negativa al tratamiento de sus
9
datos
personales.
Cuando
los
datos
se
obtengan de manera indirecta del titular, el
responsable deberá darle a conocer el aviso
de privacidad y sus cambios.
Art. 14
Art. 18
Art. 29
Art. 32
Seguridad
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
Seguridad
321
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
Implementación de
las Medidas de
Para efectos de demostrar la puesta a
disposición
10
del
aviso
de
privacidad
Seguridad
en
cumplimiento del principio de información, la
Art. 31
carga de la prueba recaerá, en todos los
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
3.8.1.1 Control.
Medida para afectar el riesgo.
3.8.1.1 Control.
Medida para afectar el riesgo.
Cumplimiento
casos, en el responsable.
Cotidiano de
Medidas de
Seguridad.
CALIDAD
El responsable procurará que los datos
personales contenidos en las bases de datos
11
sean
exactos,
completos,
pertinentes,
correctos y actualizados según se requiera
Paso 2. Política de
Art. 11
Art. 36
Gestión de Datos
Personales.
para el cumplimiento de la finalidad para la
cual son tratados.
Cuando los datos de carácter personal hayan
dejado
de
ser
necesarios
para
el
cumplimiento de las finalidades previstas por
el aviso de privacidad y las disposiciones
legales aplicables, deberán ser cancelados,
12
previo bloqueo de los mismos.
Art. 3 III
Art. 11
Paso 2. Política de
Art. 37
Gestión de Datos
Personales.
El responsable de la base de datos estará
obligado a eliminar la información relativa al
incumplimiento
de
obligaciones
contractuales, una vez que transcurra un
322
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
plazo de setenta y dos meses, contado a
partir de la fecha calendario en que se
presente el mencionado incumplimiento.
El responsable establecerá y documentará
13
Paso 2. Política de
procedimientos para la conservación y, en su
Art. 38
caso, bloqueo y supresión de los datos
Gestión de Datos
3.8.1.1 Control.
Medida para afectar el riesgo.
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Personales.
personales.
Paso 7.
Implementación de
las Medidas de
Seguridad
Al responsable le corresponde demostrar que
14
los datos personales se conservan, o en su
Art. 39
caso, bloquean, suprimen o cancelan.
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
FINALIDAD
El tratamiento de datos personales deberá
limitarse al cumplimiento de las finalidades
previstas en el aviso de privacidad.
Si el responsable pretende tratar los datos
15
para un fin distinto al establecido, deberá
obtener nuevamente el consentimiento del
titular.
Art. 12
Art. 40
Paso 2. Política de
Art. 42
Gestión de Datos
Art. 43
Personales.
El titular podrá oponerse o revocar su
consentimiento para las finalidades distintas
323
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
a las que dieron origen a la relación jurídica,
sin que ello tenga como consecuencia la
conclusión del tratamiento.
PROPORCIONALIDAD
El tratamiento de datos personales será el
que resulte necesario, adecuado y relevante
en relación con las finalidades previstas en el
16
aviso de privacidad. En particular para datos
Art. 13
personales sensibles, el responsable deberá
Art. 45
Art. 46
Paso 2. Política de
Gestión de Datos
NO APLICA
NO APLICA
3.8.1 Tratamiento del
Proceso
Riesgo.
riesgo.
3.8.1.1 Control.
Medida para afectar el riesgo.
3.8.1.1 Control.
Medida para afectar el riesgo.
Personales.
limitar el periodo de tratamiento al mínimo
indispensable.
CONFIDENCIALIDAD
El responsable o terceros que intervengan en
cualquier fase del tratamiento de datos
17
personales deberán guardar confidencialidad
respecto de éstos, obligación que subsistirá
Paso 2. Política de
Art. 21
Art. 9
modificar
el
Gestión de Datos
Personales.
aun después de finalizar sus relaciones con el
para
titular o, en su caso, con el responsable.
RESPONSABILIDAD
El responsable tiene la obligación de velar y
responder por el tratamiento de los datos
personales en su posesión, debiendo adoptar
18
las medidas necesarias.
El responsable deberá tomar las medidas
Paso 2. Política de
Art. 14
Art. 47
Gestión de Datos
Personales.
necesarias y suficientes para garantizar que el
aviso de privacidad dado a conocer al titular,
324
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
sea respetado en todo momento por él o
por terceros con los que guarde alguna
relación jurídica.
Los responsables deberán adoptar medidas
19
para
garantizar
el
debido
tratamiento,
privilegiando los intereses del titular y la
Paso 5. Realizar el
Art. 14
Art. 48
expectativa razonable de privacidad.
Análisis de Riesgo
de los Datos
Personales.
3.3.1 Estableciendo el
Factores internos y externos
contexto.
para la gestión del riesgo.
3.3.1.1
Contexto
Externo.
Contexto
Interno.
20
obligatorios y exigibles al interior de la
Paso 2. Política de
Art. 48 - I
organización.
Poner
21
en
Personales.
práctica
un
programa
de
capacitación, actualización, y concientización
del
personal
sobre
las
obligaciones
en
22
un
sistema
de
supervisión
2.1.2
Descripción
Política
estructurada
del
riesgo.
de
Declaración
de
cómo
la
organización gestiona el riesgo.
Art. 48 - II
Continua y
Capacitación.
NO APLICA
NO APLICA
Capacitación.
y
vigilancia interna, verificaciones o auditorías
externas para comprobar el cumplimiento de
Destinar recursos para la instrumentación de
los programas y políticas de privacidad.
Definición
Gestión del Riesgo.
Proceso para determinar si el
Art. 48 - III
Paso 8. Revisiones y
Auditoría.
3.8.2.6
Auditoría
Gestión del Riesgo.
las políticas de privacidad.
23
organización busca lograr sus
Paso 9. Mejora
materia de protección de datos personales.
Establecer
Gestión de Datos
Ambiente interno en el que la
objetivos.
del Riesgo.
Elaborar políticas y programas de privacidad
organización busca lograr sus
objetivos.
3.3.1.2
3.5.1.1
Ambiente externo en el que la
de
marco de trabajo de gestión
del
riesgo
es
adecuado
y
efectivo.
Paso 3. Establecer
Art. 48 - IV
Funciones y
NO APLICA
NO APLICA
Obligaciones de
325
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Quienes Traten
Datos Personales.
atienda el riesgo para la protección de datos
personales por la implementación de nuevos
Art. 48 - V
productos, servicios, tecnologías y modelos
25
periódicamente
las
políticas
análisis, y evaluación del riesgo.
Identificación
del Riesgo.
Análisis de Riesgo
3.6.1
de los Datos
Análisis
de
Proceso
identificación,
de
encontrar,
reconocer, y describir riesgos.
del
Proceso
de
entender
y
Riesgo.
determinar el nivel de riesgo.
3.7.1 Evaluación del
Proceso
Riesgo.
magnitud del riesgo.
3.8.1 Tratamiento del
Proceso
Riesgo.
riesgo.
para
para
determinar
modificar
la
el
Proceso para determinar si el
y
programas de seguridad para determinar las
Riesgo.
Paso 5. Realizar el
Personales.
de negocios, así como para mitigarlos.
Revisar
Proceso
3.5.1
Instrumentar un procedimiento para que se
24
3.4.1 Evaluación del
Art. 48 - VI
modificaciones que se requieran.
Paso 8. Revisiones y
Auditoría.
3.8.2.6
Auditoría
Gestión del Riesgo.
de
marco de trabajo de gestión
del
riesgo
es
adecuado
y
efectivo.
Paso 7.
Implementación de
las Medidas de
Establecer
26
procedimientos
para
recibir
responder dudas y quejas de los titulares de
los datos personales.
Seguridad
y
Art. 48 - VII
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
326
N°
Requerimiento normativo
Disponer
27
de
mecanismos
para
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
el
cumplimiento de las políticas y programas de
Art. 48 - VIII
privacidad, así como de sanciones por su
Descripción
Obligaciones de
Quienes Traten
NO APLICA
NO APLICA
3.8.1 Tratamiento del
Proceso
Riesgo.
riesgo.
3.8.1.1 Control.
Medida para afectar el riesgo.
3.8.1 Tratamiento del
Proceso
Riesgo.
riesgo.
3.8.1.1 Control.
Medida para afectar el riesgo.
NO APLICA
NO APLICA
Datos Personales.
Establecer medidas para el aseguramiento de
Paso 6.
los datos personales, es decir, un conjunto
Identificación de las
de acciones técnicas y administrativas que
Art. 48 - IX
permitan garantizar al responsable el
modificar
el
de Brecha.
que establece la Ley y su Reglamento.
Establecer medidas para la trazabilidad de los
Paso 6.
datos personales, es decir acciones, medidas
Identificación de las
y procedimientos técnicos que
para
medidas de
seguridad y Análisis
cumplimiento de los principios y obligaciones
29
nombre
Objetivo de Control
Paso 3. Funciones y
incumplimiento.
28
Identificador y
permiten
Art. 48 - X
rastrear a los datos personales durante su
modificar
el
medidas de
seguridad y Análisis
tratamiento.
para
de Brecha.
Paso 7.
Implementación de
Todo responsable deberá designar a una
persona,
personales,
30
o
departamento
quien
dará
de
trámite
las Medidas de
datos
a
solicitudes de los titulares, para el ejercicio
de los derechos a que se refiere la Ley.
Asimismo fomentará la protección de datos
personales al interior de la organización.
Seguridad
las
Art. 30
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
SEGURIDAD
327
N°
Requerimiento normativo
Todo
responsable
tratamiento
de
que
datos
lleve
a
personales
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
permitan
técnicas
proteger
los
y
deberá
físicas
datos
o el uso, acceso o tratamiento no autorizado.
No
adoptarán
medidas
de
Descripción
3.8.1 Tratamiento del
Proceso
para
modificar
el
Riesgo.
riesgo.
3.8.1.1 Control.
Medida para afectar el riesgo.
que
personales
contra daño, pérdida, alteración, destrucción
31
nombre
Objetivo de Control
cabo
establecer y mantener medidas de seguridad
administrativas,
Identificador y
seguridad
Paso 6.
Art. 19
menores a aquellas que mantengan para el
Art. 4
Identificación de las
Art. 9
medidas de
Art. 57
seguridad y Análisis
manejo de su información.
3.8.1.6
Riesgo
Residual.
Riesgo resultante después del
tratamiento de riesgo.
de Brecha.
Cuando el encargado se encuentre ubicado
3.8.2.5
en territorio mexicano, le serán aplicables las
Perfil
de
Descripción de un conjunto de
Riesgo.
riesgos.
El responsable determinará las medidas de
3.4.1 Evaluación del
Proceso
seguridad aplicables a los datos personales
Riesgo.
análisis, y evaluación del riesgo.
disposiciones relativas a las medidas de
seguridad contenidas en el Capítulo III de
Reglamento.
que trate, considerando el riesgo existente,
32
las posibles consecuencias para los titulares,
la sensibilidad de los datos y el desarrollo
tecnológico.
manera
identificación,
Paso 5. Realizar el
Art. 19
Art. 60
Análisis de Riesgo
de los Datos
3.5.1
Identificación
del Riesgo.
Proceso
de
encontrar,
reconocer, y describir riesgos.
Personales.
3.6.1
De
de
adicional,
el
responsable
Riesgo.
Análisis
del
Proceso
de
entender
y
determinar el nivel de riesgo.
328
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
procurará tomar en cuenta los siguientes
elementos:
I. El número de titulares;
II. Las vulnerabilidades previas ocurridas en
3.7.1 Evaluación del
Proceso
Riesgo.
magnitud del riesgo
para
determinar
la
3.8.1 Tratamiento del
Proceso
Riesgo.
riesgo.
NO APLICA
NO APLICA
NO APLICA
NO APLICA
3.4.1 Evaluación del
Proceso
análisis, y evaluación del riesgo.
los sistemas de tratamiento;
III.
El
riesgo
por
el
valor
potencial
cuantitativo o cualitativo que pudieran tener
los datos personales tratados para una
tercera
persona
no
autorizada
para
su
posesión, y
para
modificar
el
IV. Demás factores que puedan incidir en el
nivel de riesgo o que resulten de otras leyes
o regulación aplicable al responsable.
33
Elaborar un inventario de datos personales y
de los sistemas de tratamiento.
Paso 4. Elaborar un
Art. 61 - I
Inventario de Datos
Personales.
Paso 3. Establecer
34
Determinar las funciones y obligaciones de
las personas que traten datos personales.
Funciones y
Art. 61 - II
Obligaciones de
Quienes Traten
Datos Personales.
35
Contar con un análisis de riesgos de datos
Paso 5. Realizar el
Riesgo.
personales
Análisis de Riesgo
3.5.1
que
consiste
en
identificar
peligros y estimar los riesgos a los datos
personales.
Art. 61 - III
de los Datos
Personales.
Identificación
del Riesgo.
3.6.1
Riesgo.
Análisis
Proceso
de
de
identificación,
encontrar,
reconocer, y describir riesgos.
del
Proceso
de
entender
y
determinar el nivel de riesgo.
329
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Paso 6.
Establecer
36
las
medidas
de
seguridad
aplicables a los datos personales e identificar
Identificación de las
Art. 61 - IV
aquéllas implementadas de manera efectiva.
Identificador y
nombre
Descripción
Objetivo de Control
3.7.1 Evaluación del
Proceso
para
determinar
Riesgo.
magnitud del riesgo.
3.8.1 Tratamiento del
Proceso
Riesgo.
riesgo.
3.8.1.1 Control.
Medida para afectar el riesgo.
para
modificar
la
el
medidas de
seguridad y Análisis
de Brecha.
37
Realizar el análisis de brecha que consiste en
Paso 6.
la diferencia de las medidas de seguridad
Identificación de las
existentes y aquéllas faltantes que resultan
Art. 61 - V
necesarias para la protección de los datos
medidas de
seguridad y Análisis
personales.
de Brecha.
3.6.1.6 Vulnerabilidad.
3.8.1.1 Control.
3.8.1.6
Susceptibilidad a una fuente de
riesgo.
Medida para afectar el riesgo.
Riesgo
Residual.
Riesgo resultante después del
tratamiento de riesgo.
Paso 7.
Implementación de
las Medidas de
Seguridad
Elaborar
38
un
plan
de
trabajo
para
la
implementación de las medidas de seguridad
Aplicables a los
Art. 61 - VI
faltantes, derivadas del análisis de brecha.
Datos Personales.
Plan de Trabajo
2.1.3 Plan de Gestión
de Riesgos.
Especifica
el
enfoque,
componentes, y recursos para
la gestión del riesgo.
para la
Implementación de
las Medidas de
Seguridad Faltantes.
Supervisión del desempeño de
39
Llevar a cabo revisiones o auditorías.
Art. 61 - VII
Paso 8. Revisiones y
3.8.2.1 Monitoreo.
la
manera
de
gestionar
el
riesgo.
Auditoría.
3.8.2.2 Revisión.
Determinar lo adecuado y la
330
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
efectividad de la gestión del
riesgo.
Proceso
independiente
si
el
marco
para
3.8.2.6 Auditoría de la
determinar
Gestión del Riesgo.
trabajo de gestión del riesgo es
de
adecuado y efectivo.
Paso 9. Mejora
40
Capacitar
al
personal
que
efectúe
el
tratamiento de datos personales.
Art. 61 - VIII
Continua y
Capacitación.
NO APLICA
NO APLICA
NO APLICA
NO APLICA
3.8.1.1 Control.
Medida para afectar el riesgo.
3.3.1 Estableciendo el
Factores internos y externos
contexto.
para la gestión del riesgo.
Capacitación.
Paso 5. Realizar el
41
Realizar un
registro de
los medios de
almacenamiento de los datos personales.
Art. 61 - IX
Análisis de Riesgo
de los Datos
Personales.
3. Acciones a
42
Contar con una relación de las medidas de
seguridad.
implementar para la
Art. 61
seguridad de los
datos personales
documentadas.
Actualizar las medidas de seguridad cuando:
43
Art. 62
I. Se modifiquen las medidas o procesos de
Paso 8. Revisiones y
Auditoría.
331
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
seguridad para su mejora continua, derivado
de las revisiones a la política de seguridad
del responsable.
3.3.1.1
II. Se produzcan modificaciones sustanciales
Externo.
Contexto
Ambiente externo en el que la
organización busca lograr sus
objetivos.
en el tratamiento que deriven en un cambio
del nivel de riesgo.
III. Se vulneren los sistemas de tratamiento,
3.3.1.2
de conformidad con lo dispuesto en el
Interno.
Contexto
Exista
una
afectación
a
los
organización busca lograr sus
objetivos.
artículo 20 de la Ley y 63 de su Reglamento.
IV.
Ambiente interno en el que la
datos
personales distinta a las anteriores.
3.8.2
Términos
En el caso de datos personales sensibles, los
relacionados
al
Monitoreo
responsables procurarán revisar y, en su caso,
monitoreo
y
riesgo.
actualizar las relaciones correspondientes una
medición.
y
medición
del
vez al año.
VULNERACIONES A LA SEGURIDAD
Las vulneraciones de seguridad ocurridas en
cualquier fase del tratamiento que afecten de
Paso 8. Revisiones y
forma significativa los derechos patrimoniales
44
o morales de los titulares, serán informadas
de forma inmediata por el responsable al
titular, a fin de que este último pueda tomar
las medidas correspondientes a la defensa de
Art. 20
Art. 63
Art. 64
Auditoría.
Vulneraciones a la
NO APLICA
NO APLICA
Seguridad de la
Información.
sus derechos.
332
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
En caso de que ocurra una vulneración a la
seguridad
de
los
datos
personales,
el
responsable deberá informar al titular al
menos lo siguiente:
Paso 8. Revisiones y
I. La naturaleza del incidente.
45
II. Los datos personales comprometidos.
III. Las recomendaciones al titular acerca de
Auditoría.
Art. 65
Vulneraciones a la
NO APLICA
NO APLICA
Seguridad de la
las medidas que éste pueda adoptar para
Información.
proteger sus intereses.
IV. Las acciones correctivas realizadas de
forma inmediata.
V. Los medios donde puede obtener más
información al respecto.
En caso de que ocurra una vulneración a los
datos
personales,
el responsable
deberá
Paso 8. Revisiones y
analizar las causas por las cuales se presentó
46
e
implementar
las
acciones
correctivas,
3.8.2.1 Monitoreo.
Auditoría.
Art. 66
Supervisión del desempeño de
la
manera
de
gestionar
el
riesgo.
Vulneraciones a la
preventivas y de mejora para adecuar las
Seguridad de la
medidas de seguridad correspondientes, a
Información.
Determinar lo adecuado y la
3.8.2.2 Revisión.
efectividad de la gestión del
riesgo.
efecto de evitar que la vulneración se repita.
ENCARGADO
333
N°
Requerimiento normativo
El
encargado
tendrá
las
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
siguientes
obligaciones respecto del tratamiento que
realice por cuenta del responsable:
I. Tratar únicamente los datos personales
3.8.1 Tratamiento del
Proceso
para
modificar
el
conforme a las instrucciones del responsable.
Riesgo.
riesgo.
3.8.1.1 Control.
Medida para afectar el riesgo.
II. Abstenerse de tratar los datos personales
para finalidades distintas a las instruidas por
el responsable.
III. Implementar las medidas de seguridad
conforme a la Ley, su Reglamento y las
demás disposiciones aplicables.
47
IV. Guardar confidencialidad respecto de los
datos personales tratados.
Art. 50
1. Recomendación
General.
V. Suprimir los datos personales objeto de
tratamiento una vez cumplida la relación
jurídica
con
el
responsable
o
por
instrucciones del responsable, siempre y
cuando no exista una previsión legal que
exija la conservación de los datos personales.
VI.
Abstenerse
de
transferir
los
datos
personales salvo en el caso de que el
responsable
así
lo
determine,
la
comunicación derive de una subcontratación,
o
cuando
así
lo
requiera
la
autoridad
competente.
SUBCONTRATACIONES
334
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
Implementación de
La
48
relación
entre
el
responsable
y
el
las Medidas de
encargado deberá estar establecida mediante
Seguridad
cláusulas contractuales u otro instrumento
Aplicables a los
jurídico que decida el responsable, que
Art. 51
Datos Personales.
permita acreditar su existencia, alcance y
Cumplimiento
contenido.
Cotidiano de
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Medidas de
Seguridad.
Toda subcontratación de servicios por parte
del encargado que implique el tratamiento
de datos personales deberá ser autorizada
por el responsable, y se realizará en nombre
y por cuenta de este último.
Una
vez
obtenida
la
Paso 7.
autorización,
el
Implementación de
encargado deberá formalizar la relación con
el
49
subcontratado
a
través
de
las Medidas de
cláusulas
Seguridad
contractuales u otro instrumento jurídico que
Art. 54
Aplicables a los
permita acreditar su existencia, alcance y
Art. 55
Datos Personales.
contenido.
Cumplimiento
En caso de que la subcontratación no haya
Cotidiano de
sido prevista en cláusulas contractuales, el
Medidas de
encargado deberá obtener la autorización
Seguridad.
correspondiente
del
responsable
previamente.
La
obligación
de
acreditar
que
la
subcontratación se realizó con autorización
335
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
del responsable corresponderá al encargado.
CÓMPUTO EN LA NUBE
Para el tratamiento de datos personales en
servicios, aplicaciones e infraestructura en el
denominado cómputo en la nube, en los que
el responsable se adhiera a los mismos
mediante condiciones o cláusulas generales
de contratación, sólo podrá utilizar aquellos
servicios en los que el proveedor cumpla, al
menos, con lo siguiente:
Paso 7.
Implementación de
a) Tener y aplicar políticas de protección de
las Medidas de
datos personales afines a los principios y
Seguridad
deberes aplicables que establece la Ley y su
50
Reglamento;
b) Transparentar las subcontrataciones que
involucren la información sobre la que se
presta el servicio;
Art. 52 - I
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
c) Abstenerse de incluir condiciones en la
prestación del servicio que le autoricen o
permitan asumir la titularidad o propiedad de
la información sobre la que presta el servicio,
y
d) Guardar confidencialidad respecto de los
336
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
datos personales sobre los que se preste el
servicio.
Para el tratamiento de datos personales en
3.8.1 Tratamiento del
Proceso
servicios, aplicaciones e infraestructura en el
Riesgo.
riesgo.
3.8.1.1 Control.
Medida para afectar el riesgo.
para
modificar
el
denominado cómputo en la nube, en los que
el responsable se adhiera a los mismos
mediante condiciones o cláusulas generales
de contratación, sólo podrá utilizar aquellos
servicios en los que el proveedor cuente con
mecanismos, al menos, para:
Paso 7.
Implementación de
51
a) Dar a conocer cambios en sus políticas de
las Medidas de
privacidad o condiciones del servicio que
Seguridad
presta;
Art. 52 - II
Aplicables a los
Datos Personales.
b) Permitir al responsable limitar el tipo de
Cumplimiento
tratamiento de los datos personales sobre los
Cotidiano de
que se presta el servicio;
Medidas de
Seguridad.
c)
Establecer
y
mantener
medidas
de
seguridad adecuadas para la protección de
los datos personales sobre los que se preste
el servicio;
d) Garantizar la supresión de los datos
personales una vez que haya concluido el
337
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
servicio prestado al responsable, y que este
último haya podido recuperarlos, y
e) Impedir el acceso a los datos personales a
personas que no cuenten con privilegios de
acceso, o bien en caso de que sea a solicitud
fundada
y
competente,
motivada
informar
de
de
autoridad
ese
hecho
al
responsable.
TRANSFERENCIAS
Cuando el responsable pretenda transferir los
datos personales a terceros nacionales o
extranjeros, distintos del encargado, deberá
Paso 7.
comunicar a éstos el aviso de privacidad y las
Implementación de
finalidades a las que el titular sujetó su
las Medidas de
tratamiento.
52
Art. 68
El tratamiento de los datos se hará conforme
a lo convenido en el aviso de privacidad, el
cual contendrá una cláusula en la que se
indique
si
titular
o
no
Aplicables a los
Art. 72
Datos Personales.
Art. 74
Cumplimiento
Cotidiano de
transferencia de sus datos, de igual manera,
Medidas de
el tercero receptor, asumirá las mismas
Seguridad.
que
acepta
Art. 71
la
obligaciones
el
Art. 36
Seguridad
correspondan
NO APLICA
NO APLICA
al
responsable que transfirió los datos.
338
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
Para
efectos
transferencia,
de
demostrar
sea
ésta
que
la
nacional
o
Implementación de
las Medidas de
Seguridad
internacional, se realiza conforme a lo que
53
establece la Ley y su Reglamento, la carga de
Art. 69
la prueba recaerá, en todos los casos, en el
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
Cumplimiento
responsable que transfiere y en el receptor
Cotidiano de
de los datos personales.
Medidas de
Seguridad.
En
el caso de
transferencias
de
datos
personales entre sociedades controladoras,
subsidiarias o afiliadas bajo el control común
del mismo grupo del responsable, o a una
sociedad matriz o a cualquier sociedad del
mismo grupo del responsable, el mecanismo
para garantizar que el receptor de los datos
54
personales cumplirá con las disposiciones
Art. 70
previstas en la Ley, su Reglamento y demás
1. Recomendación
General
2.1.1
Marco
trabajo
de
del Riesgo.
normativa aplicable, podrá ser la existencia
de
Gestión
Conjunto de componentes para
el
diseño,
implementación,
monitoreo, y seguimiento de la
gestión del riesgo.
de normas internas de protección de datos
personales cuya observancia sea vinculante,
siempre y cuando éstas cumplan con lo
establecido en la Ley, su
Reglamento y
demás normativa aplicable.
La
55
transferencia
deberá
formalizarse
mediante algún mecanismo que permita
demostrar que el responsable transferente
Art. 73
Art. 75
Paso 7.
Implementación de
NO APLICA
NO APLICA
las Medidas de
339
N°
Requerimiento normativo
comunicó
al
responsable
receptor
las
condiciones en las que el titular consintió el
tratamiento de sus datos personales.
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Seguridad
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
340
4.12 ISO 9000:2005, Quality management systems -- Fundamentals and vocabulary.
Introducción. Es un documento de referencia para entender los términos y vocabulario relacionado con los sistemas de
gestión de calidad. El ISO 9000:2005 está orientado a organizaciones que buscan tomar ventaja a través de la
implementación de un sistema de gestión de la calidad.
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
RESPONSABLE
Contexto de las normas ISO
9000 en la eficacia de los
0.1 Generalidades.
sistemas
de
gestión
de
la
calidad.
Describe
0.2
Los responsables en el tratamiento de datos
personales, deberán observar los principios
1
de
licitud,
consentimiento,
información,
Art. 6
Art. 9
calidad, finalidad, lealtad, proporcionalidad y
Principios
responsabilidad, previstos en la Ley.
principios
de
gestión de la calidad para la
gestión de la Calidad.
mejora del desempeño de la
organización.
1. Recomendación
General.
los
de
1 Objeto y campo de
Aplicabilidad de los sistemas de
aplicación.
gestión de la calidad.
2 Fundamentos de los
Fundamentos de los sistemas
Sistemas de Gestión
de gestión de la calidad para la
de Calidad.
satisfacción de los clientes.
3
Términos
y
definiciones.
Conceptos base para el manejo
de sistemas de gestión de la
calidad.
LICITUD Y LEALTAD
2
Los datos personales deberán recabarse y
Art. 7
Art. 7
Paso 1. Alcance y
2.5
Política
de
la
Documentos para proporcionar
341
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
tratarse de manera lícita, privilegiando la
Art. 10
Objetivos.
protección de los intereses del titular y la
Art. 44
N°
Requerimiento normativo
expectativa
razonable
de
privacidad,
Identificador y
nombre
Descripción
Objetivo de Control
Calidad y objetivos de
un punto de referencia para
la Calidad.
dirigir la organización.
sin
importar la fuente de la que se obtienen los
datos.
La obtención de datos personales no debe
hacerse a través de medios engañosos o
fraudulentos.
CONSENTIMIENTO
El tratamiento de datos personales estará
sujeto al consentimiento de su titular, salvo
las excepciones previstas por la Ley.
Los
3
datos
financieros
o
patrimoniales
Art. 11
requerirán consentimiento expreso de su
Art. 12
titular.
Art. 8
Art. 15
Paso 2. Política de
2.5
la
Documentos para proporcionar
Gestión de Datos
Calidad y objetivos de
un punto de referencia para
la Calidad.
dirigir la organización.
Personales.
Política
de
Cuando los datos personales se obtengan
personalmente o de manera directa de su
titular, el consentimiento deberá ser previo al
tratamiento.
Aspectos de la documentación
El responsable deberá facilitar al titular
4
medios sencillos y gratuitos para manifestar
su consentimiento expreso.
Paso 2. Política de
Art. 8
Art. 16
2.7 Documentación
en los sistemas de gestión de la
calidad
Gestión de Datos
Personales.
2.7.1
Valor
documentación
de
la
Contribución
de
documentación
para
la
los
objetivos de los sistemas de
342
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
gestión de la calidad
2.7.2
Tipos
de
documentos
utilizados
generada de acuerdo con los
los
objetivos de los sistemas de
sistemas de gestión
gestión de la calidad y de la
de la calidad.
organización.
2.5
en
Política
de
la
Documentos para proporcionar
Calidad y objetivos de
un punto de referencia para
la Calidad.
dirigir la organización.
Tratándose de datos personales sensibles, el
responsable
deberá
obtener
Aspectos de la documentación
el
2.7 Documentación.
consentimiento expreso y por escrito del
titular
para
su
Tipo de documentación a ser
en los sistemas de gestión de la
calidad.
tratamiento.
Paso 2. Política de
5
No podrán crearse bases de datos que
contengan datos personales sensibles, sin
que se justifique la creación de las mismas
para
finalidades
legítimas,
concretas
Art. 9
Art. 56
Gestión de Datos
Personales.
2.7.1
Valor
de
la
documentación.
Contribución
de
documentación
para
la
los
objetivos de los sistemas de
y
gestión de la calidad.
acordes con las actividades o fines explícitos
que persigue el sujeto regulado.
2.7.2
Tipos
de
documentos
utilizados
Tipo de documentación a ser
generada de acuerdo con los
los
objetivos de los sistemas de
sistemas de gestión
en
gestión de la calidad y de la
de la calidad.
organización.
343
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
Implementación de
las Medidas de
Para efectos de demostrar la obtención del
6
consentimiento,
recaerá,
en
la
carga
todos
los
de
la
casos,
Seguridad
prueba
en
Art. 20
el
responsable.
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
2.7.2
Tipos
de
documentos
utilizados
Tipo de documentación a ser
generada de acuerdo con los
los
objetivos de los sistemas de
sistemas de gestión
en
gestión de la calidad y de la
de la calidad.
organización.
Medidas de
Seguridad.
INFORMACIÓN
A
través
del
aviso
de
privacidad,
el
responsable tendrá la obligación de informar
a los titulares, los datos que recaba, las
finalidades necesarias y las que no lo son
para
la
relación
jurídica,
así
como
las
características principales de su tratamiento.
7
Cuando se traten datos personales como
Art. 14
Paso 2. Política de
parte de un proceso de toma de decisiones
Art. 23
Gestión de Datos
Art. 112
Personales.
sin que intervenga la valoración de una
persona
física,
el
responsable
deberá
Art. 15
2.5
la
Documentos para proporcionar
Calidad y objetivos de
Política
de
un punto de referencia para
la Calidad.
dirigir la organización.
informar al titular que esta situación ocurre.
Si obtiene los datos de manera automática,
deberá informar al titular sobre el uso de
estas tecnologías y la forma en que podrá
deshabilitarlas.
344
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Paso 7.
Implementación de
8
del
titular,
el
aviso
nombre
Descripción
Objetivo de Control
2.4 Enfoque basado
en procesos.
Adopción del enfoque basado
en procesos para gestionar una
organización.
las Medidas de
Cuando los datos personales sean obtenidos
directamente
Identificador y
Seguridad
de
privacidad debe ponerse a disposición de los
Art. 3, I
titulares a través de formatos impresos,
Art. 17
Art. 27
digitales, visuales, sonoros o cualquier otra
tecnología.
Aplicables a los
Datos Personales.
2.7.2
Tipos
de
documentos
Tipo de documentación a ser
generada de acuerdo con los
Cumplimiento
utilizados
los
objetivos de los sistemas de
Cotidiano de
sistemas de gestión
gestión de la calidad y de la
de Calidad.
organización.
Medidas de
en
Seguridad.
Paso 7.
El aviso de privacidad
debe contener un
mecanismo,
el
para
que
titular
Implementación de
las Medidas de
pueda
manifestar su negativa al tratamiento de sus
9
datos
personales.
Cuando
los
datos
se
obtengan de manera indirecta del titular, el
Art. 14
Art. 18
Art. 29
Art. 32
responsable deberá darle a conocer el aviso
de privacidad y sus cambios.
2.5
Política
de
la
Documentos para proporcionar
Calidad y objetivos de
un punto de referencia para
la Calidad.
dirigir la organización.
Seguridad
Aplicables a los
Datos Personales.
2.7.2
Tipos
de
documentos
Tipo de documentación a ser
generada de acuerdo con los
Cumplimiento
utilizados
los
objetivos de los sistemas de
Cotidiano de
sistemas de gestión
gestión de la calidad y de la
Medidas de
de Calidad.
organización.
en
Seguridad
Paso 7.
Para efectos de demostrar la puesta a
disposición
10
del
aviso
de
privacidad
en
cumplimiento del principio de información, la
carga de la prueba recaerá, en todos los
casos, en el responsable.
Implementación de
las Medidas de
Art. 31
Seguridad
Aplicables a los
Datos Personales.
2.7.2
Tipos
de
documentos
utilizados
Tipo de documentación a ser
generada de acuerdo con los
en
los
objetivos de los sistemas de
sistemas de gestión
gestión de la calidad y de la
de Calidad.
organización.
Cumplimiento
345
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Cotidiano de
Medidas de
Seguridad.
CALIDAD
2.5
Política
de
la
Documentos para proporcionar
Calidad y objetivos de
un punto de referencia para
la Calidad.
dirigir la organización.
Aspectos de la documentación
2.7 Documentación.
El responsable procurará que los datos
calidad.
personales contenidos en las bases de datos
11
sean
exactos,
completos,
pertinentes,
correctos y actualizados según se requiera
para el cumplimiento de la finalidad para la
cual son tratados.
en los sistemas de gestión de la
Paso 2. Política de
Art. 11
Art. 36
Gestión de Datos
Personales.
2.7.1
Valor
de
la
documentación.
Contribución
de
documentación
para
la
los
objetivos de los sistemas de
gestión de la calidad.
2.7.2
Tipos
de
documentos
utilizados
Tipo de documentación a ser
generada de acuerdo con los
los
objetivos de los sistemas de
sistemas de gestión
en
gestión de la calidad y de la
de la calidad.
organización.
346
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Cuando los datos de carácter personal hayan
dejado
de
ser
necesarios
para
el
cumplimiento de las finalidades previstas por
2.4 Enfoque basado
el aviso de privacidad y las disposiciones
en procesos.
legales aplicables, deberán ser cancelados,
previo bloqueo de los mismos.
12
Art. 3 III
El responsable de la base de datos estará
Art. 11
de
en procesos para gestionar una
organización.
Paso 2. Política de
Art. 37
Gestión de Datos
Personales.
obligado a eliminar la información relativa al
incumplimiento
Adopción del enfoque basado
obligaciones
2.5
Política
de
la
Documentos para proporcionar
Calidad y objetivos de
un punto de referencia para
la Calidad.
dirigir la organización.
contractuales, una vez que transcurra un
plazo de setenta y dos meses, contado a
partir de la fecha calendario en que se
presente el mencionado incumplimiento.
Aspectos de la documentación
2.7 Documentación.
en los sistemas de gestión de la
calidad.
El responsable establecerá y documentará
13
procedimientos para la conservación y, en su
caso, bloqueo y supresión de los datos
personales.
Paso 2. Política de
Art. 38
Gestión de Datos
2.7.1
Valor
de
la
documentación.
Contribución
de
documentación
para
la
los
objetivos de los sistemas de
gestión de la calidad.
Personales.
2.7.2
Tipos
de
documentos
utilizados
Tipo de documentación a ser
generada de acuerdo con los
los
objetivos de los sistemas de
sistemas de gestión
en
gestión de la calidad y de la
de la calidad
organización.
347
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
Implementación de
las Medidas de
Seguridad
Al responsable le corresponde demostrar que
14
los datos personales se conservan, o en su
Art. 39
caso, bloquean, suprimen o cancelan.
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
2.7.2
Tipos
de
documentos
utilizados
Tipo de documentación a ser
generada de acuerdo con los
los
objetivos de los sistemas de
sistemas de gestión
en
gestión de la calidad y de la
de Calidad.
organización.
Medidas de
Seguridad.
FINALIDAD
El tratamiento de datos personales deberá
limitarse al cumplimiento de las finalidades
previstas en el aviso de privacidad.
Si el responsable pretende tratar los datos
para un fin distinto al establecido, deberá
obtener nuevamente el consentimiento del
15
titular.
Art. 12
Art. 40
Paso 2. Política de
2.5
Política
de
la
Documentos para proporcionar
Art. 42
Gestión de Datos
Calidad y objetivos de
un punto de referencia para
Art. 43
Personales.
la Calidad.
dirigir la organización.
El titular podrá oponerse o revocar su
consentimiento para las finalidades distintas
a las que dieron origen a la relación jurídica,
sin que ello tenga como consecuencia la
conclusión del tratamiento.
PROPORCIONALIDAD
348
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
El tratamiento de datos personales será el
que resulte necesario, adecuado y relevante
en relación con las finalidades previstas en el
16
aviso de privacidad. En particular para datos
Art. 13
personales sensibles, el responsable deberá
Art. 45
Art. 46
Paso 2. Política de
2.5
la
Documentos para proporcionar
Gestión de Datos
Calidad y objetivos de
un punto de referencia para
la Calidad.
dirigir la organización.
Personales.
Política
de
limitar el periodo de tratamiento al mínimo
indispensable.
CONFIDENCIALIDAD
2.4 Enfoque basado
en procesos.
El responsable o terceros que intervengan en
cualquier fase del tratamiento de datos
17
personales deberán guardar confidencialidad
respecto de éstos, obligación que subsistirá
Art. 21
Art. 9
aun después de finalizar sus relaciones con el
en procesos para gestionar una
organización.
Paso 2. Política de
2.5
la
Documentos para proporcionar
Gestión de Datos
Calidad y objetivos de
un punto de referencia para
la Calidad.
dirigir la organización.
Personales.
Política
Adopción del enfoque basado
de
Aspectos de la documentación
titular o, en su caso, con el responsable.
2.7 Documentación.
en los sistemas de gestión de la
calidad.
RESPONSABILIDAD
Describe
El responsable tiene la obligación de velar y
18
principios
de
responder por el tratamiento de los datos
0.2
de
gestión de la calidad para la
personales en su posesión, debiendo adoptar
gestión de la Calidad.
mejora del desempeño de la
las medidas necesarias.
Paso 2. Política de
Principios
los
organización.
la
Documentos para proporcionar
Calidad y objetivos de
un punto de referencia para
la Calidad.
dirigir la organización.
aviso de privacidad dado a conocer al titular,
2.8 Evaluación de los
Procesos
sea respetado en todo momento por él o
sistemas de gestión
auditoría de los sistemas de
por terceros con los que guarde alguna
de la calidad.
gestión de la calidad.
El responsable deberá tomar las medidas
necesarias y suficientes para garantizar que el
Art. 14
Art. 47
Gestión de Datos
Personales.
2.5
Política
de
de
evaluación
y
349
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
relación jurídica.
Identificador y
nombre
Descripción
Objetivo de Control
2.8.1
Procesos
de
evaluación dentro del
sistema de gestión de
la calidad.
2.8.2
Auditorías
del
sistema de gestión de
la calidad.
2.8.3
Consideraciones
evaluación
del
para
la
sistema
de
gestión de la calidad.
Tipos
de
auditoría
para
determinar si se han alcanzado
los requisitos del sistema de
gestión de la calidad.
Revisión
del
sistema de gestión de
la calidad.
Evaluaciones sistemáticas para
determinar
la
eficiencia
y
eficacia del sistema de gestión
de la calidad.
Importancia
de
la
autoevaluación para lograr la
2.8.4 Autoevaluación.
revisión completa y sistemática
de las actividades y resultados
de la organización.
Consideraciones para que los
Los responsables deberán adoptar medidas
19
para
garantizar
el
debido
tratamiento,
privilegiando los intereses del titular y la
expectativa razonable de privacidad.
Paso 5. Realizar el
Art. 14
Art. 48
2.1 Base racional para
sistemas
los
calidad
sistemas
de
gestión de Calidad.
de
gestión
ayuden
de
a
la
las
organizaciones a aumentar la
satisfacción de sus clientes.
Análisis de Riesgo
de los Datos
2.2
Requisitos
para
Personales.
los
sistemas
de
Gestión de Calidad y
requisitos
productos.
para
los
Distinción entre los requisitos
para los sistemas de gestión de
calidad y requisitos para los
productos.
350
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
2.3
Enfoque
de
sistemas de gestión
de Calidad.
en procesos.
20
obligatorios y exigibles al interior de la
Art. 48 - I
organización.
Poner
21
en
práctica
un
programa
de
capacitación, actualización, y concientización
del
personal
sobre
las
obligaciones
en
Art. 48 - II
materia de protección de datos personales.
Establecer
22
un
sistema
de
supervisión
externas para comprobar el cumplimiento de
las políticas de privacidad.
un
un
desarrollar
e
sistema
de
Adopción del enfoque basado
en procesos para gestionar una
organización.
la
Documentos para proporcionar
Gestión de Datos
Calidad y objetivos de
un punto de referencia para
la Calidad.
dirigir la organización.
de
Paso 9. Mejora
2.6 Papel de la alta
Continua y
dirección dentro del
Capacitación.
sistema de gestión de
Capacitación.
la calidad.
Responsabilidades de la alta
dirección
para
el
establecimiento y operación del
sistema
de
gestión
de
la
evaluación
y
calidad.
2.8 Evaluación de los
Procesos
sistemas de gestión
auditoría de los sistemas de
de la calidad.
gestión de la calidad.
2.8.1
Art. 48 - III
para
implementar
con
2.5
y
vigilancia interna, verificaciones o auditorías
enfoque
contar
Paso 2. Política de
Personales.
Política
para
gestión de la calidad.
2.4 Enfoque basado
Elaborar políticas y programas de privacidad
Etapas
Procesos
de
Paso 8. Revisiones y
evaluación dentro del
Auditoría.
sistema de gestión de
la calidad.
2.8.2
Auditorías
del
sistema de gestión de
la calidad.
de
Consideraciones
evaluación
del
para
la
sistema
de
gestión de la calidad.
Tipos
de
auditoría
para
determinar si se han alcanzado
los requisitos del sistema de
gestión de la calidad.
351
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
2.8.3
Revisión
del
sistema de gestión de
la calidad.
Evaluaciones sistemáticas para
determinar
la
eficiencia
y
eficacia del sistema de gestión
de la calidad.
Importancia
de
la
autoevaluación para lograr la
2.8.4 Autoevaluación.
revisión completa y sistemática
de las actividades y resultados
de la organización.
Paso 3. Establecer
23
Destinar recursos para la instrumentación de
los programas y políticas de privacidad.
Funciones y
Art. 48 - IV
Obligaciones de
Quienes Traten
Datos Personales.
2.6 Papel de la alta
dirección dentro del
sistema de gestión de
la calidad.
Responsabilidades de la alta
dirección
para
el
establecimiento y operación del
sistema
de
gestión
de
la
calidad.
Consideraciones para que los
2.1 Base racional para
sistemas
los
calidad
sistemas
de
gestión de Calidad.
atienda el riesgo para la protección de datos
personales por la implementación de nuevos
productos, servicios, tecnologías y modelos
de negocios, así como para mitigarlos.
gestión
ayuden
de
a
la
las
organizaciones a aumentar la
satisfacción de sus clientes.
Instrumentar un procedimiento para que se
24
de
Art. 48 - V
Paso 5. Realizar el
2.2
Requisitos
para
Análisis de Riesgo
los
sistemas
de
de los Datos
Personales.
Gestión de Calidad y
requisitos
para
los
productos.
2.3
Enfoque
de
sistemas de gestión
de Calidad.
Distinción entre los requisitos
para los sistemas de gestión de
calidad y requisitos para los
productos.
Etapas
enfoque
para
contar
para
implementar
un
con
un
desarrollar
e
sistema
de
gestión de la calidad.
352
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
2.4 Enfoque basado
en procesos.
organización.
Procesos
sistemas de gestión
auditoría de los sistemas de
de la calidad.
gestión de la calidad.
Procesos
de
evaluación dentro del
sistema de gestión de
la calidad.
25
periódicamente
las
políticas
2.8.2
y
programas de seguridad para determinar las
Art. 48 - VI
modificaciones que se requieran.
Paso 8. Revisiones y
Auditoría.
en procesos para gestionar una
2.8 Evaluación de los
2.8.1
Revisar
Adopción del enfoque basado
Auditorías
del
sistema de gestión de
la calidad.
2.8.3
Revisión
de
evaluación
Consideraciones
evaluación
del
y
para
la
sistema
de
gestión de la calidad.
Tipos
de
auditoría
para
determinar si se han alcanzado
los requisitos del sistema de
gestión de la calidad.
del
sistema de gestión de
la calidad.
Evaluaciones sistemáticas para
determinar
la
eficiencia
y
eficacia del sistema de gestión
de la calidad.
Importancia
de
la
autoevaluación para lograr la
2.8.4 Autoevaluación.
revisión completa y sistemática
de las actividades y resultados
de la organización.
Establecer
26
procedimientos
para
recibir
y
responder dudas y quejas de los titulares de
los datos personales.
Paso 7.
Art. 48 - VII
Implementación de
las Medidas de
2.4 Enfoque basado
en procesos.
Adopción del enfoque basado
en procesos para gestionar una
organización.
353
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Seguridad
Aplicables a los
Datos Personales.
Cumplimiento
Identificador y
nombre
Descripción
Objetivo de Control
2.5
la
Documentos para proporcionar
Calidad y objetivos de
Política
de
un punto de referencia para
la Calidad.
dirigir la organización.
Cotidiano de
Medidas de
Seguridad.
Disponer
27
de
mecanismos
para
el
cumplimiento de las políticas y programas de
privacidad, así como de sanciones por su
Art. 48 - VIII
incumplimiento.
Aspectos de la documentación
2.7 Documentación.
en los sistemas de gestión de la
calidad.
Paso 3. Funciones y
2.6 Papel de la alta
Obligaciones de
dirección dentro del
Quienes Traten
sistema de gestión de
Datos Personales.
la calidad.
Responsabilidades de la alta
dirección
para
el
establecimiento y operación del
sistema
de
gestión
de
la
calidad.
Consideraciones para que los
2.1 Base racional para
sistemas
los
calidad
sistemas
de
gestión de Calidad.
Establecer medidas para el aseguramiento de
Paso 6.
los datos personales, es decir, un conjunto
28
de acciones técnicas y administrativas que
permitan garantizar al responsable el
cumplimiento de los principios y obligaciones
que establece la Ley y su Reglamento.
Identificación de las
Art. 48 - IX
medidas de
seguridad y Análisis
de Brecha.
de
gestión
ayuden
de
a
la
las
organizaciones a aumentar la
satisfacción de sus clientes.
2.2
Requisitos
para
los
sistemas
de
Gestión de Calidad y
requisitos
para
los
productos.
2.3
Enfoque
de
sistemas de gestión
de Calidad.
Distinción entre los requisitos
para los sistemas de gestión de
calidad y requisitos para los
productos.
Etapas
enfoque
para
contar
para
implementar
un
con
un
desarrollar
e
sistema
de
gestión de la calidad.
354
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
2.4 Enfoque basado
en procesos.
Adopción del enfoque basado
en procesos para gestionar una
organización.
Consideraciones para que los
2.1 Base racional para
sistemas
los
calidad
sistemas
de
gestión de Calidad.
de
gestión
ayuden
de
a
la
las
organizaciones a aumentar la
satisfacción de sus clientes.
29
Establecer medidas para la trazabilidad de los
Paso 6.
datos personales, es decir acciones, medidas
Identificación de las
y procedimientos técnicos que
permiten
rastrear a los datos personales durante su
tratamiento.
Art. 48 - X
2.2
Requisitos
para
los
sistemas
de
Gestión de Calidad y
medidas de
requisitos
seguridad y Análisis
productos.
de Brecha.
2.3
para
Enfoque
los
de
sistemas de gestión
de Calidad.
2.4 Enfoque basado
en procesos.
Distinción entre los requisitos
para los sistemas de gestión de
calidad y requisitos para los
productos.
Etapas
enfoque
para
contar
para
implementar
un
con
un
desarrollar
e
sistema
de
gestión de la calidad.
Adopción del enfoque basado
en procesos para gestionar una
organización.
355
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
Implementación de
Todo responsable deberá designar a una
persona,
o
personales,
30
departamento
quien
dará
de
las Medidas de
datos
trámite
a
las
solicitudes de los titulares, para el ejercicio
Art. 30
de los derechos a que se refiere la Ley.
Seguridad
2.6 Papel de la alta
Aplicables a los
dirección dentro del
Datos Personales.
sistema de gestión de
Cumplimiento
Asimismo fomentará la protección de datos
la calidad.
dirección
para
el
establecimiento y operación del
sistema
de
gestión
de
la
calidad.
Cotidiano de
personales al interior de la organización.
Responsabilidades de la alta
Medidas de
Seguridad.
SEGURIDAD
Todo
responsable
que
lleve
a
Consideraciones para que los
cabo
2.1 Base racional para
sistemas
establecer y mantener medidas de seguridad
los
calidad
administrativas,
gestión de Calidad.
tratamiento
permitan
de
datos
personales
técnicas
proteger
los
y
deberá
físicas
datos
que
adoptarán
medidas
de
seguridad
menores a aquellas que mantengan para el
manejo de su información.
Cuando el encargado se encuentre ubicado
en territorio mexicano, le serán aplicables las
disposiciones relativas a las medidas de
seguridad contenidas en el Capítulo III de
Reglamento.
gestión
ayuden
de
a
la
las
organizaciones a aumentar la
satisfacción de sus clientes.
o el uso, acceso o tratamiento no autorizado.
No
de
personales
contra daño, pérdida, alteración, destrucción
31
sistemas
de
Paso 6.
Art. 19
2.2
Requisitos
para
los
sistemas
de
Gestión de Calidad y
Art. 4
Identificación de las
Art. 9
medidas de
requisitos
Art. 57
seguridad y Análisis
productos.
de Brecha.
2.3
para
Enfoque
los
de
sistemas de gestión
de Calidad.
2.4 Enfoque basado
en procesos.
Distinción entre los requisitos
para los sistemas de gestión de
calidad y requisitos para los
productos.
Etapas
enfoque
para
contar
para
implementar
un
con
un
desarrollar
e
sistema
de
gestión de la calidad.
Adopción del enfoque basado
en procesos para gestionar una
organización.
356
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
El responsable determinará las medidas de
Consideraciones para que los
seguridad aplicables a los datos personales
2.1 Base racional para
sistemas
que trate, considerando el riesgo existente,
los
calidad
las posibles consecuencias para los titulares,
gestión de Calidad.
sistemas
de
adicional,
el
responsable
Paso 5. Realizar el
elementos:
I. El número de titulares;
Art. 19
Art. 60
II. Las vulnerabilidades previas ocurridas en
El
riesgo
por
el
valor
Análisis de Riesgo
de los Datos
Personales.
los sistemas de tratamiento;
III.
2.2
Requisitos
para
los
sistemas
de
Gestión de Calidad y
procurará tomar en cuenta los siguientes
32
ayuden
de
a
la
las
satisfacción de sus clientes.
tecnológico.
manera
gestión
organizaciones a aumentar la
la sensibilidad de los datos y el desarrollo
De
de
requisitos
para
los
productos.
2.3
Enfoque
de
sistemas de gestión
de Calidad.
potencial
cuantitativo o cualitativo que pudieran tener
Distinción entre los requisitos
para los sistemas de gestión de
calidad y requisitos para los
productos.
Etapas
enfoque
para
contar
para
implementar
un
con
un
desarrollar
e
sistema
de
gestión de la calidad.
los datos personales tratados para una
tercera
persona
no
autorizada
para
su
posesión, y
2.4 Enfoque basado
IV. Demás factores que puedan incidir en el
en procesos.
nivel de riesgo o que resulten de otras leyes
Adopción del enfoque basado
en procesos para gestionar una
organización.
o regulación aplicable al responsable.
33
Elaborar un inventario de datos personales y
de los sistemas de tratamiento.
Paso 4. Elaborar un
Art. 61 - I
Inventario de Datos
Personales.
Aspectos de la documentación
2.7 Documentación.
en los sistemas de gestión de la
calidad.
357
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
2.7.1
Valor
de
la
documentación.
Contribución
de
la
documentación
para
los
objetivos de los sistemas de
gestión de la calidad.
2.7.2
Tipos
de
documentos
generada de acuerdo con los
utilizados
Paso 3. Establecer
34
Determinar las funciones y obligaciones de
las personas que traten datos personales.
Funciones y
Art. 61 - II
Obligaciones de
Quienes Traten
Datos Personales.
Tipo de documentación a ser
los
objetivos de los sistemas de
sistemas de gestión
en
gestión de la calidad y de la
de la calidad.
organización.
2.6 Papel de la alta
dirección dentro del
sistema de gestión de
la calidad.
Responsabilidades de la alta
dirección
para
el
establecimiento y operación del
sistema
de
gestión
de
la
calidad.
Consideraciones para que los
2.1 Base racional para
sistemas
los
calidad
sistemas
de
gestión de Calidad.
de
gestión
ayuden
de
a
la
las
organizaciones a aumentar la
satisfacción de sus clientes.
35
Contar con un análisis de riesgos de datos
Paso 5. Realizar el
2.2
Requisitos
para
personales
Análisis de Riesgo
los
sistemas
de
que
consiste
en
identificar
peligros y estimar los riesgos a los datos
personales.
Art. 61 - III
de los Datos
Personales.
Gestión de Calidad y
requisitos
para
los
productos.
2.3
Enfoque
de
sistemas de gestión
de Calidad.
Distinción entre los requisitos
para los sistemas de gestión de
calidad y requisitos para los
productos.
Etapas
enfoque
para
contar
para
implementar
un
con
un
desarrollar
e
sistema
de
gestión de la calidad.
358
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
2.4 Enfoque basado
en procesos.
Adopción del enfoque basado
en procesos para gestionar una
organización.
Consideraciones para que los
2.1 Base racional para
sistemas
los
calidad
sistemas
de
gestión de Calidad.
de
gestión
ayuden
de
a
la
las
organizaciones a aumentar la
satisfacción de sus clientes.
Paso 6.
Establecer
36
las
medidas
de
seguridad
aplicables a los datos personales e identificar
Identificación de las
Art. 61 - IV
aquéllas implementadas de manera efectiva.
medidas de
seguridad y Análisis
de Brecha.
2.2
Requisitos
para
los
sistemas
de
Gestión de Calidad y
requisitos
para
los
productos.
2.3
Enfoque
de
sistemas de gestión
de Calidad.
Distinción entre los requisitos
para los sistemas de gestión de
calidad y requisitos para los
productos.
Etapas
enfoque
para
contar
para
implementar
con
un
desarrollar
un
sistema
e
de
gestión de la calidad.
2.4 Enfoque basado
en procesos.
Adopción del enfoque basado
en procesos para gestionar una
organización.
Consideraciones para que los
37
Realizar el análisis de brecha que consiste en
Paso 6.
la diferencia de las medidas de seguridad
Identificación de las
existentes y aquéllas faltantes que resultan
necesarias para la protección de los datos
personales.
Art. 61 - V
medidas de
2.1 Base racional para
sistemas
los
calidad
sistemas
de
gestión de Calidad.
gestión
ayuden
de
a
la
las
organizaciones a aumentar la
satisfacción de sus clientes.
seguridad y Análisis
de Brecha.
de
2.2
Requisitos
para
Distinción entre los requisitos
los
sistemas
de
para los sistemas de gestión de
359
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Gestión de Calidad y
calidad y requisitos para los
requisitos
productos.
para
los
productos.
2.3
Enfoque
de
sistemas de gestión
de Calidad.
Etapas
para
enfoque
contar
para
implementar
un
con
un
desarrollar
e
sistema
de
gestión de la calidad.
2.4 Enfoque basado
en procesos.
Adopción del enfoque basado
en procesos para gestionar una
organización.
Paso 7.
Implementación de
las Medidas de
Seguridad
Elaborar
38
un
plan
de
trabajo
para
la
implementación de las medidas de seguridad
Aplicables a los
Art. 61 - VI
faltantes, derivadas del análisis de brecha.
Datos Personales.
Acciones
2.9 Mejora continua.
Plan de Trabajo
encaminadas
a
la
mejora continua del sistema de
gestión de la calidad.
para la
Implementación de
las Medidas de
Seguridad Faltantes.
39
Llevar a cabo revisiones o auditorías.
Art. 61 - VII
Paso 8. Revisiones y
Auditoría.
2.8 Evaluación de los
Procesos
sistemas de gestión
auditoría de los sistemas de
de la calidad.
gestión de la calidad.
2.8.1
Procesos
de
evaluación dentro del
sistema de gestión de
la calidad.
de
Consideraciones
evaluación
del
evaluación
y
para
la
sistema
de
gestión de la calidad.
360
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
2.8.2
Auditorías
del
sistema de gestión de
la calidad.
2.8.3
Tipos
de
auditoría
para
determinar si se han alcanzado
los requisitos del sistema de
gestión de la calidad.
Revisión
del
sistema de gestión de
la calidad.
Evaluaciones sistemáticas para
determinar
la
eficiencia
y
eficacia del sistema de gestión
de la calidad.
Importancia
de
la
autoevaluación para lograr la
2.8.4 Autoevaluación.
revisión completa y sistemática
de las actividades y resultados
de la organización.
40
Capacitar
al
personal
que
efectúe
el
tratamiento de datos personales.
Art. 61 - VIII
Paso 9. Mejora
2.6 Papel de la alta
Continua y
dirección dentro del
Capacitación.
sistema de gestión de
Capacitación.
la calidad.
Responsabilidades de la alta
dirección
para
el
establecimiento y operación del
sistema
de
gestión
de
la
calidad.
Aspectos de la documentación
2.7 Documentación.
en los sistemas de gestión de la
calidad.
Paso 5. Realizar el
41
Realizar un
registro de
los medios de
almacenamiento de los datos personales.
Art. 61 - IX
Análisis de Riesgo
de los Datos
2.7.1
Valor
de
la
documentación.
Contribución
de
documentación
para
la
los
objetivos de los sistemas de
Personales.
gestión de la calidad.
2.7.2
Tipos
de
documentos
utilizados
Tipo de documentación a ser
generada de acuerdo con los
en
los
objetivos de los sistemas de
361
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
sistemas de gestión
gestión de la calidad y de la
de la calidad.
organización.
Aspectos de la documentación
2.7 Documentación.
en los sistemas de gestión de la
calidad.
3. Acciones a
42
Contar con una relación de las medidas de
seguridad.
implementar para la
Art. 61
seguridad de los
datos personales
documentadas.
2.7.1
Valor
I. Se modifiquen las medidas o procesos de
2.7.2
Tipos
43
II. Se produzcan modificaciones sustanciales
en el tratamiento que deriven en un cambio
del nivel de riesgo.
III. Se vulneren los sistemas de tratamiento,
de conformidad con lo dispuesto en el
de
documentos
Art. 62
Paso 8. Revisiones y
en
objetivos de los sistemas de
gestión de la calidad y de la
de la calidad.
organización.
2.8 Evaluación de los
Procesos
sistemas de gestión
auditoría de los sistemas de
de la calidad.
gestión de la calidad.
Procesos
de
la calidad.
Auditoría.
2.8.2
Auditorías
del
sistema de gestión de
la calidad.
sistema de gestión de
a
los
datos
Revisión
de
evaluación
Consideraciones
evaluación
del
y
para
la
sistema
de
gestión de la calidad.
Tipos
de
auditoría
para
determinar si se han alcanzado
los requisitos del sistema de
gestión de la calidad.
2.8.3
afectación
Tipo de documentación a ser
los
IV.
una
la
los
sistemas de gestión
artículo 20 de la Ley y 63 de su Reglamento.
Exista
para
generada de acuerdo con los
sistema de gestión de
del responsable.
de
documentación
objetivos de los sistemas de
evaluación dentro del
de las revisiones a la política de seguridad
Contribución
gestión de la calidad.
2.8.1
seguridad para su mejora continua, derivado
la
documentación.
utilizados
Actualizar las medidas de seguridad cuando:
de
del
Evaluaciones sistemáticas para
determinar
la
eficiencia
y
362
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
personales distinta a las anteriores.
Identificador y
nombre
Descripción
Objetivo de Control
la calidad.
eficacia del sistema de gestión
En el caso de datos personales sensibles, los
de la calidad.
responsables procurarán revisar y, en su caso,
Importancia
actualizar las relaciones correspondientes una
de
la
autoevaluación para lograr la
vez al año.
2.8.4 Autoevaluación.
revisión completa y sistemática
de las actividades y resultados
de la organización.
VULNERACIONES A LA SEGURIDAD
2.4 Enfoque basado
Las vulneraciones de seguridad ocurridas en
cualquier fase del tratamiento que afecten de
Paso 8. Revisiones y
forma significativa los derechos patrimoniales
44
o morales de los titulares, serán informadas
de forma inmediata por el responsable al
titular, a fin de que este último pueda tomar
las medidas correspondientes a la defensa de
sus derechos.
Art. 20
Art. 63
Art. 64
en procesos.
Adopción del enfoque basado
en procesos para gestionar una
organización.
Auditoría.
Vulneraciones a la
Seguridad de la
Información.
2.5
Política
de
la
Documentos para proporcionar
Calidad y objetivos de
un punto de referencia para
la Calidad.
dirigir la organización.
Aspectos de la documentación
2.7 Documentación.
en los sistemas de gestión de la
calidad.
363
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
En caso de que ocurra una vulneración a la
seguridad
de
los
datos
personales,
el
responsable deberá informar al titular al
menos lo siguiente:
Paso 8. Revisiones y
I. La naturaleza del incidente.
45
II. Los datos personales comprometidos.
III. Las recomendaciones al titular acerca de
Auditoría.
Art. 65
Vulneraciones a la
Seguridad de la
las medidas que éste pueda adoptar para
2.5
Política
de
la
Documentos para proporcionar
Calidad y objetivos de
un punto de referencia para
la Calidad.
dirigir la organización.
Información.
proteger sus intereses.
IV. Las acciones correctivas realizadas de
forma inmediata.
V. Los medios donde puede obtener más
información al respecto.
Importancia
En caso de que ocurra una vulneración a los
datos
personales,
el responsable
deberá
Paso 8. Revisiones y
analizar las causas por las cuales se presentó
46
e
implementar
las
acciones
correctivas,
2.8.4 Autoevaluación.
Auditoría.
Art. 66
Seguridad de la
medidas de seguridad correspondientes, a
Información.
efecto de evitar que la vulneración se repita.
la
revisión completa y sistemática
de las actividades y resultados
Vulneraciones a la
preventivas y de mejora para adecuar las
de
autoevaluación para lograr la
de la organización.
Acciones
2.9 Mejora continua.
encaminadas
a
la
mejora continua del sistema de
gestión de la calidad.
ENCARGADO
El
47
encargado
tendrá
las
siguientes
obligaciones respecto del tratamiento que
realice por cuenta del responsable:
Art. 50
1. Recomendación
General.
2.1 Base racional para
los
sistemas
gestión de Calidad.
de
Consideraciones para que los
sistemas
calidad
de
gestión
ayuden
de
a
la
las
organizaciones a aumentar la
364
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
I. Tratar únicamente los datos personales
satisfacción de sus clientes.
conforme a las instrucciones del responsable.
II. Abstenerse de tratar los datos personales
para finalidades distintas a las instruidas por
2.2
Requisitos
para
el responsable.
los
sistemas
de
III. Implementar las medidas de seguridad
Gestión de Calidad y
conforme a la Ley, su Reglamento y las
requisitos
demás disposiciones aplicables.
productos.
para
los
Distinción entre los requisitos
para los sistemas de gestión de
calidad y requisitos para los
productos.
IV. Guardar confidencialidad respecto de los
datos personales tratados.
V. Suprimir los datos personales objeto de
2.3
tratamiento una vez cumplida la relación
sistemas de gestión
jurídica
de Calidad.
con
el
responsable
o
por
Enfoque
de
instrucciones del responsable, siempre y
Etapas
enfoque
para
contar
para
implementar
un
con
un
desarrollar
e
sistema
de
gestión de la calidad.
cuando no exista una previsión legal que
exija la conservación de los datos personales.
VI.
Abstenerse
de
transferir
los
datos
personales salvo en el caso de que el
2.4 Enfoque basado
responsable
en procesos.
así
lo
determine,
la
comunicación derive de una subcontratación,
o
cuando
así
lo
requiera
la
Adopción del enfoque basado
en procesos para gestionar una
organización.
autoridad
competente.
SUBCONTRATACIONES
La
relación
entre
el
responsable
y
el
Paso 7.
encargado deberá estar establecida mediante
48
cláusulas contractuales u otro instrumento
Implementación de
Art. 51
las Medidas de
jurídico que decida el responsable, que
Seguridad
permita acreditar su existencia, alcance y
Aplicables a los
Aspectos de la documentación
2.7 Documentación.
en los sistemas de gestión de la
calidad.
365
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
contenido.
Identificador y
nombre
Descripción
Objetivo de Control
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
2.7.1
Valor
de
la
documentación.
Contribución
de
documentación
para
la
los
objetivos de los sistemas de
gestión de la calidad.
2.7.2
Tipos
de
documentos
utilizados
generada de acuerdo con los
en
los
objetivos de los sistemas de
sistemas de gestión
gestión de la calidad y de la
de la calidad.
organización.
Toda subcontratación de servicios por parte
Aspectos de la documentación
del encargado que implique el tratamiento
Paso 7.
de datos personales deberá ser autorizada
las Medidas de
y por cuenta de este último.
49
vez
obtenida
la
autorización,
el
encargado deberá formalizar la relación con
el
subcontratado
a
través
de
cláusulas
contractuales u otro instrumento jurídico que
permita acreditar su existencia, alcance y
contenido.
En caso de que la subcontratación no haya
sido prevista en cláusulas contractuales, el
2.7 Documentación.
en los sistemas de gestión de la
calidad.
Implementación de
por el responsable, y se realizará en nombre
Una
Tipo de documentación a ser
Seguridad
Art. 54
Aplicables a los
Art. 55
Datos Personales.
2.7.1
Valor
de
la
documentación.
Contribución
de
documentación
para
la
los
objetivos de los sistemas de
gestión de la calidad.
Cumplimiento
2.7.2
Cotidiano de
documentos
Medidas de
utilizados
los
objetivos de los sistemas de
Seguridad.
sistemas de gestión
gestión de la calidad y de la
de la calidad.
organización.
Tipos
de
Tipo de documentación a ser
generada de acuerdo con los
en
366
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
encargado deberá obtener la autorización
correspondiente
del
responsable
previamente.
La
obligación
de
acreditar
que
la
subcontratación se realizó con autorización
del responsable corresponderá al encargado.
CÓMPUTO EN LA NUBE
Para el tratamiento de datos personales en
Consideraciones para que los
servicios, aplicaciones e infraestructura en el
2.1 Base racional para
sistemas
denominado cómputo en la nube, en los que
los
calidad
el responsable se adhiera a los mismos
de
gestión de Calidad.
Paso 7.
de contratación, sólo podrá utilizar aquellos
Implementación de
servicios en los que el proveedor cumpla, al
las Medidas de
2.2
Requisitos
para
Seguridad
los
sistemas
de
Art. 52 - I
Aplicables a los
Gestión de Calidad y
requisitos
datos personales afines a los principios y
Cumplimiento
productos.
deberes aplicables que establece la Ley y su
Cotidiano de
Reglamento;
Medidas de
Seguridad.
b) Transparentar las subcontrataciones que
involucren la información sobre la que se
presta el servicio;
gestión
ayuden
de
a
la
las
satisfacción de sus clientes.
Datos Personales.
a) Tener y aplicar políticas de protección de
de
organizaciones a aumentar la
mediante condiciones o cláusulas generales
menos, con lo siguiente:
50
sistemas
2.3
para
Enfoque
los
de
sistemas de gestión
de Calidad.
Distinción entre los requisitos
para los sistemas de gestión de
calidad y requisitos para los
productos.
Etapas
enfoque
para
contar
para
implementar
un
con
un
desarrollar
e
sistema
de
gestión de la calidad.
367
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
c) Abstenerse de incluir condiciones en la
prestación del servicio que le autoricen o
permitan asumir la titularidad o propiedad de
la información sobre la que presta el servicio,
2.4 Enfoque basado
y
en procesos.
Adopción del enfoque basado
en procesos para gestionar una
organización.
d) Guardar confidencialidad respecto de los
datos personales sobre los que se preste el
servicio.
Para el tratamiento de datos personales en
Consideraciones para que los
servicios, aplicaciones e infraestructura en el
2.1 Base racional para
sistemas
denominado cómputo en la nube, en los que
los
calidad
el responsable se adhiera a los mismos
gestión de Calidad.
mediante condiciones o cláusulas generales
Paso 7.
de contratación, sólo podrá utilizar aquellos
Implementación de
servicios en los que el proveedor cuente con
las Medidas de
mecanismos, al menos, para:
51
Seguridad
a) Dar a conocer cambios en sus políticas de
privacidad o condiciones del servicio que
presta;
b) Permitir al responsable limitar el tipo de
tratamiento de los datos personales sobre los
que se presta el servicio;
c)
Establecer
y
mantener
Art. 52 - II
Aplicables a los
Datos Personales.
sistemas
de
de
gestión
ayuden
de
a
la
las
organizaciones a aumentar la
satisfacción de sus clientes.
2.2
Requisitos
para
los
sistemas
de
Gestión de Calidad y
requisitos
para
los
productos.
Cumplimiento
2.3
Cotidiano de
sistemas de gestión
Medidas de
de Calidad.
Enfoque
de
Seguridad.
2.4 Enfoque basado
medidas
de
en procesos.
Distinción entre los requisitos
para los sistemas de gestión de
calidad y requisitos para los
productos.
Etapas
enfoque
para
contar
para
implementar
un
con
un
desarrollar
e
sistema
de
gestión de la calidad.
Adopción del enfoque basado
en procesos para gestionar una
organización.
seguridad adecuadas para la protección de
368
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
los datos personales sobre los que se preste
el servicio;
d) Garantizar la supresión de los datos
personales una vez que haya concluido el
servicio prestado al responsable, y que este
último haya podido recuperarlos, y
e) Impedir el acceso a los datos personales a
personas que no cuenten con privilegios de
acceso, o bien en caso de que sea a solicitud
fundada
y
competente,
motivada
informar
de
de
autoridad
ese
hecho
al
responsable.
TRANSFERENCIAS
Consideraciones para que los
Cuando el responsable pretenda transferir los
Paso 7.
datos personales a terceros nacionales o
Implementación de
extranjeros, distintos del encargado, deberá
las Medidas de
comunicar a éstos el aviso de privacidad y las
Art. 68
finalidades a las que el titular sujetó su
52
tratamiento.
Art. 36
El tratamiento de los datos se hará conforme
a lo convenido en el aviso de privacidad, el
cual contendrá una cláusula en la que se
indique
si
el
titular
acepta
o
no
la
2.1 Base racional para
sistemas
los
calidad
sistemas
de
gestión de Calidad.
de
gestión
ayuden
de
a
la
las
organizaciones a aumentar la
Seguridad
satisfacción de sus clientes.
Art. 71
Aplicables a los
Art. 72
Datos Personales.
2.2
Requisitos
para
Art. 74
Cumplimiento
los
sistemas
de
Cotidiano de
Gestión de Calidad y
Medidas de
requisitos
Seguridad.
productos.
para
los
Distinción entre los requisitos
para los sistemas de gestión de
calidad y requisitos para los
productos.
369
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
transferencia de sus datos, de igual manera,
que
correspondan
nombre
Descripción
Objetivo de Control
2.3
el tercero receptor, asumirá las mismas
obligaciones
Identificador y
Enfoque
de
sistemas de gestión
al
de Calidad.
responsable que transfirió los datos.
Etapas
enfoque
para
contar
para
implementar
un
con
un
desarrollar
e
sistema
de
gestión de la calidad.
2.4 Enfoque basado
en procesos.
Adopción del enfoque basado
en procesos para gestionar una
organización.
Aspectos de la documentación
Paso 7.
Para
efectos
transferencia,
de
demostrar
sea
ésta
que
la
nacional
o
establece la Ley y su Reglamento, la carga de
Seguridad
Art. 69
responsable que transfiere y en el receptor
de los datos personales.
el caso de
transferencias
de
Aplicables a los
2.7.1
Valor
de
la
documentación.
documentación
para
la
los
gestión de la calidad.
2.7.2
Cotidiano de
documentos
Medidas de
utilizados
los
objetivos de los sistemas de
Seguridad.
sistemas de gestión
gestión de la calidad y de la
de la calidad.
organización.
Tipos
de
Tipo de documentación a ser
generada de acuerdo con los
en
Contexto de las normas ISO
9000 en la eficacia de los
0.1 Generalidades.
subsidiarias o afiliadas bajo el control común
sociedad matriz o a cualquier sociedad del
de
Cumplimiento
datos
del mismo grupo del responsable, o a una
Contribución
objetivos de los sistemas de
Datos Personales.
personales entre sociedades controladoras,
54
calidad.
las Medidas de
la prueba recaerá, en todos los casos, en el
En
en los sistemas de gestión de la
Implementación de
internacional, se realiza conforme a lo que
53
2.7 Documentación.
Art. 70
sistemas
de
gestión
de
la
calidad.
1. Recomendación
General
Describe
los
principios
de
mismo grupo del responsable, el mecanismo
0.2
de
gestión de la calidad para la
para garantizar que el receptor de los datos
gestión de la Calidad.
mejora del desempeño de la
personales cumplirá con las disposiciones
Principios
organización.
370
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
previstas en la Ley, su Reglamento y demás
normativa aplicable, podrá ser la existencia
de normas internas de protección de datos
personales cuya observancia sea vinculante,
siempre y cuando éstas cumplan con lo
establecido en la Ley, su
Reglamento y
demás normativa aplicable.
Identificador y
nombre
Descripción
Objetivo de Control
1 Objeto y campo de
Aplicabilidad de los sistemas de
aplicación.
gestión de la calidad.
2 Fundamentos de los
Fundamentos de los sistemas
Sistemas de Gestión
de gestión de la calidad para la
de Calidad.
satisfacción de los clientes.
3
Términos
y
definiciones.
Conceptos base para el manejo
de sistemas de gestión de la
calidad.
Aspectos de la documentación
Paso 7.
2.7 Documentación.
en los sistemas de gestión de la
calidad.
Implementación de
La
transferencia
deberá
formalizarse
las Medidas de
mediante algún mecanismo que permita
55
Seguridad
demostrar que el responsable transferente
Art. 73
Aplicables a los
comunicó
Art. 75
Datos Personales.
al
responsable
receptor
las
2.7.1
Valor
de
la
documentación.
Contribución
de
documentación
para
la
los
objetivos de los sistemas de
gestión de la calidad.
condiciones en las que el titular consintió el
Cumplimiento
2.7.2
tratamiento de sus datos personales.
Cotidiano de
documentos
Medidas de
utilizados
los
objetivos de los sistemas de
Seguridad.
sistemas de gestión
gestión de la calidad y de la
de la calidad.
organización.
Tipos
de
Tipo de documentación a ser
generada de acuerdo con los
en
371
4.13 BS 10012:2009 Data Protection – Specification for a Personal Information Management
System (PIMS).
Introducción. Introducción. Este estándar británico ha sido producido para formar las bases para las políticas internas
sobre la legislación de protección de datos y el cumplimiento con las buenas prácticas. Asimismo, es un marco de referencia
estándar para auditorías y procesos de revisión respecto a protección de datos.
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
RESPONSABLE
3 Planeación de un
Sistema
de
Gestión
de
Información
Personal.
1
Actividades
etapa
de
dirección al PIMS.
Actividades
operación
asignación
un
la
planeación que dan soporte y
4 Implementación y
de
de
relacionadas
de
a
roles
la
y
Los responsables en el tratamiento de datos
Sistema
de
Gestión
responsabilidades de acuerdo a la
personales, deberán observar los principios
de
Información
política privacidad que da soporte
de
licitud,
consentimiento,
información,
calidad, finalidad, lealtad, proporcionalidad y
responsabilidad, previstos en la Ley.
Art. 6
Art. 9
1. Recomendación
General.
Personal.
5
y dirección al PIMS.
Monitoreo
revisión
de
y
un
Sistema
de
Gestión
de
Información
Personal.
6
Mejora
de
Actividades para validar que se
estén cumpliendo las políticas y
procedimientos definidos en el
PIMS.
un
Proceso de mejora continua del
Gestión
PIMS de acuerdo a los resultados
Sistema
de
de
Información
del
monitoreo
y
cambios
372
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Personal.
relevantes.
LICITUD Y LEALTAD
Actividades
4.7
Los datos personales deberán recabarse y
Procesamiento
justo y lícito.
tratarse de manera lícita, privilegiando la
2
razonable
de
privacidad,
datos.
que
el
información
justa.
Procedimientos para asegurar el
sin
importar la fuente de la que se obtienen los
de
recopilada sea de forma licita y
protección de los intereses del titular y la
expectativa
para
procesamiento
Art. 7
Art. 7
Art. 10
Art. 44
Paso 1. Alcance y
Objetivos.
4.7.1
Recolección
procesamiento
y
de
información personal.
cumplimiento
con
regulaciones
en
las
leyes
cuanto
y
a
recopilación y procesamiento de
información personal.
La obtención de datos personales no debe
Actividades para la incorporación
hacerse a través de medios engañosos o
fraudulentos.
de procedimientos sobre el trato
4.7.5 Terceros.
de
información
personal
con
terceros.
CONSENTIMIENTO
El tratamiento de datos personales estará
Procedimientos para asegurar el
sujeto al consentimiento de su titular, salvo
4.7.1
Recolección
las excepciones previstas por la Ley.
procesamiento
y
de
información personal.
Los
3
patrimoniales
Art. 11
requerirán consentimiento expreso de su
datos
financieros
o
Art. 12
titular.
Cuando los datos personales se obtengan
personalmente o de manera directa de su
titular, el consentimiento deberá ser previo al
tratamiento.
Art. 8
Art. 15
Paso 2. Política de
Gestión de Datos
Personales.
cumplimiento
con
regulaciones
en
las
leyes
cuanto
y
a
recopilación y procesamiento de
información personal.
4.7.3
Emisión
de
Actividades
para
enunciados y avisos
presentación
de privacidad.
privacidad.
de
4.7.4 Accesibilidad de
Procedimientos
enunciados y avisos
accesibilidad
de
de privacidad.
privacidad
y
la
emisión
aviso
para
y
de
la
avisos
de
enunciados
373
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
relacionados.
Procedimientos para asegurar el
El responsable
4
deberá
facilitar al titular
medios sencillos y gratuitos para manifestar
Art. 8
Art. 16
su consentimiento expreso.
Paso 2. Política de
4.7.1
Gestión de Datos
procesamiento
Personales.
Recolección
y
de
información personal.
cumplimiento
con
regulaciones
en
las
leyes
cuanto
y
a
recopilación y procesamiento de
información personal.
Tratándose de datos personales sensibles, el
responsable
deberá
obtener
Procedimientos para asegurar el
el
4.7.1
Recolección
y
consentimiento expreso y por escrito del
procesamiento
titular
información personal.
para
su
tratamiento.
de
Paso 2. Política de
5
No podrán crearse bases de datos que
Art. 9
Art. 56
contengan datos personales sensibles, sin
Gestión de Datos
para
tratamiento.
concretas
y
Paso 7.
Para efectos de demostrar la obtención del
6
recaerá,
en
responsable.
todos
carga
los
de
la
casos,
prueba
en
el
cuanto
y
a
recopilación y procesamiento de
tratamiento de datos se realizará
de
acuerdo
a
los
propósitos
pertinente.
que persigue el sujeto regulado.
la
en
leyes
especificados y bajo el marco legal
acordes con las actividades o fines explícitos
consentimiento,
regulaciones
las
Actividades para asegurar que el
Personales.
4.8.1 Motivos para el
legítimas,
con
información personal.
que se justifique la creación de las mismas
finalidades
cumplimiento
Implementación de
Art. 20
las Medidas de
Seguridad
Aplicables a los
Procedimientos para asegurar el
4.7.1
Recolección
procesamiento
y
de
información personal.
cumplimiento
con
regulaciones
en
las
leyes
cuanto
y
a
recopilación y procesamiento de
información personal.
374
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Datos Personales.
Cumplimiento
4.7.2
Procedimientos
para
Cotidiano de
enunciados y avisos
Registro
de
mantenimiento de
registros de
el
Medidas de
de privacidad.
enunciados o avisos de privacidad.
Seguridad.
INFORMACIÓN
A
través
del
aviso
de
privacidad,
el
responsable tendrá la obligación de informar
Procedimientos para asegurar el
a los titulares, los datos que recaba, las
finalidades necesarias y las que no lo son
4.7.1
para
procesamiento
la
relación
jurídica,
así
como
las
Cuando se traten datos personales como
parte de un proceso de toma de decisiones
sin que intervenga la valoración de una
persona
física,
el
responsable
Art. 14
Art. 15
Art. 23
Art. 112
deberá
Personales.
8
aviso
Implementación de
privacidad debe ponerse a disposición de los
Art. 3, I
titulares a través de formatos impresos,
Art. 17
tecnología.
en
las
leyes
cuanto
y
a
recopilación y procesamiento de
Actividades
enunciados y avisos
presentación
de privacidad.
privacidad.
para
de
Procedimientos
la
emisión
aviso
para
accesibilidad
de
privacidad
y
y
de
la
avisos
de
enunciados
relacionados.
Paso 7.
de
digitales, visuales, sonoros o cualquier otra
de
de privacidad.
deshabilitarlas.
el
Emisión
enunciados y avisos
estas tecnologías y la forma en que podrá
titular,
4.7.3
4.7.4 Accesibilidad de
deberá informar al titular sobre el uso de
del
con
regulaciones
Gestión de Datos
Si obtiene los datos de manera automática,
Cuando los datos personales sean obtenidos
cumplimiento
información personal.
Paso 2. Política de
informar al titular que esta situación ocurre.
directamente
y
de
información personal.
características principales de su tratamiento.
7
Recolección
Art. 27
las Medidas de
Seguridad
Aplicables a los
4.7.4 Accesibilidad de
enunciados y avisos
de privacidad.
Procedimientos
para
accesibilidad
de
privacidad
y
la
avisos
de
enunciados
relacionados.
Datos Personales.
375
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
Actividades para la incorporación
Paso 7.
El aviso de privacidad
debe contener un
mecanismo,
el
para
que
titular
datos
personales.
Cuando
los
se
obtengan de manera indirecta del titular, el
Art. 14
Art. 18
Art. 29
Art. 32
responsable deberá darle a conocer el aviso
Datos Personales.
4.8.1 Motivos para el
tratamiento.
Medidas de
Seguridad
con
tratamiento de datos se realizará
de
acuerdo
a
los
propósitos
especificados y bajo el marco legal
Cumplimiento
Cotidiano de
de privacidad y sus cambios.
personal
Actividades para asegurar que el
Seguridad
Aplicables a los
información
terceros.
las Medidas de
pueda
datos
de
Implementación de
manifestar su negativa al tratamiento de sus
9
de procedimientos sobre el trato
4.7.5 Terceros.
pertinente.
4.8.2 Consentimiento
Actividades para asegurar que el
para
consentimiento
de
propósitos
otorgado
nuevos
propósitos.
es
nuevos
e
informado.
Paso 7.
Implementación de
las Medidas de
Para efectos de demostrar la puesta a
disposición
10
del
aviso
de
privacidad
cumplimiento del principio de información, la
carga de la prueba recaerá, en todos los
casos, en el responsable.
Seguridad
en
Art. 31
4.7.2
Registro
de
Procedimientos
para
el
enunciados y avisos
mantenimiento de
registros de
de privacidad.
enunciados o avisos de privacidad.
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
4.7.4 Accesibilidad de
enunciados y avisos
de privacidad.
Procedimientos
para
accesibilidad
de
privacidad
y
la
avisos
de
enunciados
relacionados.
Seguridad.
CALIDAD
376
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Procedimientos para asegurar que
personales contenidos en las bases de datos
11
sean
exactos,
completos,
pertinentes,
correctos y actualizados según se requiera
los datos recopilados son idóneos
4.9.1 Idoneidad.
El responsable procurará que los datos
de
Art. 36
Gestión de Datos
Personales.
para el cumplimiento de la finalidad para la
a
los
propósitos
establecidos.
Paso 2. Política de
Art. 11
acuerdo
4.9.2 Relevante y no
excesivo.
Procedimientos
para
la
recopilación de los datos mínimos
necesarios.
cual son tratados.
Actividades para el mantenimiento
4.10 Precisión.
íntegro y actualizado de los datos
recopilados.
Cuando los datos de carácter personal hayan
dejado
de
ser
necesarios
para
el
cumplimiento de las finalidades previstas por
el aviso de privacidad y las disposiciones
legales aplicables, deberán ser cancelados,
previo bloqueo de los mismos.
12
Art. 3 III
El responsable de la base de datos estará
obligado a eliminar la información relativa al
incumplimiento
de
Art. 11
Paso 2. Política de
Art. 37
Gestión de Datos
Personales.
Actividades para asegurar que la
4.11
Retención
eliminación.
y
información no es retenida más de
lo necesario y que se elimina por
medios apropiados.
obligaciones
contractuales, una vez que transcurra un
plazo de setenta y dos meses, contado a
partir de la fecha calendario en que se
presente el mencionado incumplimiento.
377
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
El responsable establecerá y documentará
13
Paso 2. Política de
procedimientos para la conservación y, en su
Art. 38
caso, bloqueo y supresión de los datos
Gestión de Datos
Personales.
personales.
Identificador y
nombre
Descripción
Objetivo de Control
Actividades para asegurar que la
4.11
Retención
y
eliminación.
información no es retenida más de
lo necesario y que se elimina por
medios apropiados.
Paso 7.
Implementación de
las Medidas de
Seguridad
Al responsable le corresponde demostrar que
14
los datos personales se conservan, o en su
Art. 39
caso, bloquean, suprimen o cancelan.
Aplicables a los
Datos Personales.
Actividades para asegurar que la
4.11
Retención
y
eliminación.
información no es retenida más de
lo necesario y que se elimina por
Cumplimiento
medios apropiados.
Cotidiano de
Medidas de
Seguridad.
FINALIDAD
El tratamiento de datos personales deberá
limitarse al cumplimiento de las finalidades
previstas en el aviso de privacidad.
Si el responsable pretende tratar los datos
15
titular.
El titular podrá oponerse o revocar su
consentimiento para las finalidades distintas
a las que dieron origen a la relación jurídica,
Actividades para asegurar que la
información personal
información obtenida es utilizada
para
solo
propósitos
especificados.
para un fin distinto al establecido, deberá
obtener nuevamente el consentimiento del
4.8 Procesamiento de
Art. 12
Art. 40
Paso 2. Política de
Art. 42
Gestión de Datos
Art. 43
Personales.
para
los
propósitos
especificados.
Actividades para asegurar que el
4.8.1 Motivos para el
tratamiento.
tratamiento de datos se realizará
de
acuerdo
a
los
propósitos
especificados y bajo el marco legal
pertinente.
sin que ello tenga como consecuencia la
378
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
conclusión del tratamiento.
PROPORCIONALIDAD
4.9
relevante
El tratamiento de datos personales será el
en relación con las finalidades previstas en el
aviso de privacidad. En particular para datos
y
no
excesivo.
que resulte necesario, adecuado y relevante
16
Idoneidad,
Art. 13
personales sensibles, el responsable deberá
Art. 45
Art. 46
4.9.1 Idoneidad.
Personales.
relevante y no excesiva.
los datos recopilados son idóneos
de
acuerdo
a
los
propósitos
establecidos.
limitar el periodo de tratamiento al mínimo
indispensable.
información personal es adecuada,
Procedimientos para asegurar que
Paso 2. Política de
Gestión de Datos
Actividades para asegurar que la
4.9.2 Relevante y no
excesivo.
Procedimientos
para
la
recopilación de los datos mínimos
necesarios.
CONFIDENCIALIDAD
Procedimientos
17
donde
se
El responsable o terceros que intervengan en
4.8.3 Intercambios de
establezcan las responsabilidades
cualquier fase del tratamiento de datos
datos.
de las partes para la transmisión
personales deberán guardar confidencialidad
respecto de éstos, obligación que subsistirá
aun después de finalizar sus relaciones con el
titular o, en su caso, con el responsable.
Paso 2. Política de
Art. 21
Art. 9
de datos.
Gestión de Datos
Personales.
Procedimientos para asegurar que
4.16
Procesamiento
subcontratado.
la información personal procesada
por otra organización cumpla con
los requerimientos y legislación
379
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
vigentes.
RESPONSABILIDAD
3 Planeación de un
responder por el tratamiento de los datos
personales en su posesión, debiendo adoptar
las medidas necesarias.
Paso 2. Política de
El responsable deberá tomar las medidas
de
Gestión
de
Información
Personal.
El responsable tiene la obligación de velar y
18
Sistema
Art. 14
Art. 47
necesarias y suficientes para garantizar que el
Gestión de Datos
Personales.
aviso de privacidad dado a conocer al titular,
sea respetado en todo momento por él o
por terceros con los que guarde alguna
operación
asignación
un
19
para
Análisis de Riesgo
garantizar
el
debido
tratamiento,
privilegiando los intereses del titular y la
expectativa razonable de privacidad.
Art. 14
Art. 48
de los Datos
Personales.
de
relacionadas
de
a
la
roles
y
de
Gestión
responsabilidades de acuerdo a la
de
Información
política privacidad que da soporte
Personal.
5
y dirección al PIMS.
Monitoreo
revisión
de
y
un
Sistema
de
Gestión
de
Información
Mejora
de
Actividades para validar que se
estén cumpliendo las políticas y
procedimientos definidos en el
PIMS.
un
Proceso de mejora continua del
Gestión
PIMS de acuerdo a los resultados
Sistema
de
de
Información
Personal.
Paso 5. Realizar el
etapa
Sistema
6
Los responsables deberán adoptar medidas
la
dirección al PIMS.
Actividades
de
de
planeación que dan soporte y
4 Implementación y
Personal.
relación jurídica.
Actividades
del
monitoreo
4.2.2
Información
Identificación
personal
de
información
riesgo
alto.
4.4
y
cambios
relevantes.
y
registro
personal
de
de
alto
riesgo.
Evaluación
Riesgos.
de
Procedimiento
administración
para
de
la
riesgos
380
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
relacionados
a
la
información
personal.
4.13.1
Controles
de
Seguridad.
base en una evaluación de riesgos.
3.3 Política de gestión
de
información
personal.
Elaborar políticas y programas de privacidad
20
obligatorios y exigibles al interior de la
Paso 2. Política de
Art. 48 - I
organización.
Gestión de Datos
Personales.
Establecimiento de controles con
La dirección de la organización
debe
mantener
y
demostrar
compromiso con una política de
gestión de información personal.
3.4 Contenido de la
Lineamientos sobre el contenido
política.
de la política.
Definición de la responsabilidad
3.5 Responsabilidad y
de sobre la información personal
rendición de cuentas.
de
acuerdo
a
la
legislación
vigente.
Poner
21
en
práctica
un
programa
de
capacitación, actualización, y concientización
del
personal
sobre
las
obligaciones
materia de protección de datos personales.
en
4.1.2 Responsabilidad
Designación
diaria
para vigilar el cumplimiento de
para
el
Art. 48 - II
Continua y
Capacitación.
Capacitación.
personal
cumplimiento con la
políticas
política.
información personal.
Paso 9. Mejora
y
de
clave
procedimientos
de
Actividades para asegurar que el
4.3 Entrenamiento y
personal
conozca
sus
concientización.
responsabilidades cuando procesa
información personal.
381
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
4.5
Manteniendo
Proceso para determinar que el
actualizado el Sistema
PIMS se encuentra actualizado y
de
conforme a los requerimientos de
Gestión
de
Información Personal.
Establecer
22
un
sistema
de
supervisión
4.13.5 Revisiones de
y
vigilancia interna, verificaciones o auditorías
externas para comprobar el cumplimiento de
Art. 48 - III
Paso 8. Revisiones y
Seguridad.
la regulación vigente.
Ejecución
periódica
de
evaluaciones a los controles de
seguridad.
Auditoría.
las políticas de privacidad.
5.1 Auditoría interna.
Actividades para la ejecución de
auditorías sobre el PIMS.
Proceso de revisión del PIMS por
5.2 Revisión gerencial.
parte de la gerencia orientado a la
mejora continua.
3.6
Paso 3. Establecer
23
Destinar recursos para la instrumentación de
los programas y políticas de privacidad.
Funciones y
Art. 48 - IV
Obligaciones de
Quienes Traten
Datos Personales.
Provisión
de
recursos.
3.7
La
organización
provee
los
determina
recursos
y
necesarios
para el mantenimiento del PIMS.
Incrustación
del
Sistema
de
Gestión
Actividades para incluir el PIMS
de
Información
como un valor relevante dentro de
Personal en la cultura
la organización
de la organización.
382
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Instrumentar un procedimiento para que se
personales por la implementación de nuevos
nombre
Descripción
Objetivo de Control
Paso 5. Realizar el
atienda el riesgo para la protección de datos
24
Identificador y
Art. 48 - V
productos, servicios, tecnologías y modelos
Análisis de Riesgo
de los Datos
Procedimiento
4.4
Evaluación
de
Riesgos.
relacionados
Personales.
de negocios, así como para mitigarlos.
25
y
programas de seguridad para determinar las
modificaciones que se requieran.
Art. 48 - VI
Paso 8. Revisiones y
información
Proceso para determinar que el
PIMS se encuentra actualizado y
de
conforme a los requerimientos de
Gestión
de
Seguridad.
políticas
la
Manteniendo
4.13.5 Revisiones de
las
a
la
riesgos
actualizado el Sistema
Información Personal.
periódicamente
de
personal.
4.5
Revisar
para
administración
la regulación vigente.
Ejecución
periódica
de
evaluaciones a los controles de
seguridad.
Actividades para la ejecución de
5.1 Auditoría interna.
auditorías sobre el PIMS
Auditoría.
Proceso de revisión del PIMS por
5.2 Revisión gerencial.
parte de la gerencia orientado a la
mejora continua.
6.1
Acciones
preventivas
correctivas.
y
Definición
y
seguimiento
de
acciones orientadas a la mejora
del PIMS.
Mejora de la eficacia del PIMS con
6.2 Mejora continua.
respecto
a
las
métricas
establecidas.
383
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
Implementación de
las Medidas de
Establecer
26
procedimientos
para
recibir
Seguridad
y
responder dudas y quejas de los titulares de
Art. 48 - VII
los datos personales.
Aplicables a los
Datos Personales.
4.12.2
Quejas
y
reclamaciones.
Procedimiento para la atención de
quejas y reclamaciones.
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
Definición de la responsabilidad
Disponer
27
de
mecanismos
para
el
cumplimiento de las políticas y programas de
privacidad, así como de sanciones por su
Paso 3. Funciones y
Art. 48 - VIII
incumplimiento.
3.5 Responsabilidad y
de sobre la información personal
rendición de cuentas.
de
Quienes Traten
Datos Personales.
Paso 6.
28
de acciones técnicas y administrativas que
permitan garantizar al responsable el
cumplimiento de los principios y obligaciones
que establece la Ley y su Reglamento.
Identificación de las
Art. 48 - IX
medidas de
seguridad y Análisis
de Brecha.
la
legislación
Designación
diaria
para vigilar el cumplimiento de
para
el
personal
políticas
política.
información personal.
Cuestiones
de
4.13.1
Controles
Manejo
almacenamiento.
4.13.3 Transmisión.
clave
procedimientos
de
Actividades para asegurar que la
información personal
de
Seguridad.
4.13.2
y
de
cumplimiento con la
Seguridad.
los datos personales, es decir, un conjunto
a
4.1.2 Responsabilidad
4.13
Establecer medidas para el aseguramiento de
acuerdo
vigente.
Obligaciones de
Establecimiento de controles con
base en una evaluación de riesgos.
y
Procedimientos para el manejo y
almacenamiento
seguro
de
la
información personal.
Procedimientos para la transmisión
segura de información personal.
384
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Establecer
4.13.4
Controles
de
acceso.
procedimientos
para
restringir el acceso a información
personal
solo
a
personal
autorizado.
4.13.5 Revisiones de
Seguridad.
4.13.6
Gestión
incidentes
Manejo
Procedimientos
de
identificación
y procedimientos técnicos que
Identificación de las
permiten
Art. 48 - X
rastrear a los datos personales durante su
medidas de
y
de Brecha.
Procedimientos para el manejo y
almacenamiento
seguro
de
la
segura de información personal.
Establecer
Controles
la
de
Procedimientos para la transmisión
4.13.3 Transmisión.
4.13.4
para
tratamiento
información personal.
seguridad y Análisis
tratamiento.
y
incidentes de seguridad.
Paso 6.
datos personales, es decir acciones, medidas
29
de
evaluaciones a los controles de
de
almacenamiento.
Establecer medidas para la trazabilidad de los
periódica
seguridad.
Seguridad.
4.13.2
Ejecución
de
acceso.
procedimientos
para
restringir el acceso a información
personal
solo
a
personal
autorizado.
persona,
personales,
30
o
departamento
quien
dará
de
trámite
datos
a
las
solicitudes de los titulares, para el ejercicio
de los derechos a que se refiere la Ley.
Asimismo fomentará la protección de datos
personales al interior de la organización.
Definición de la responsabilidad
Paso 7.
Todo responsable deberá designar a una
Art. 30
Implementación de
3.5 Responsabilidad y
de sobre la información personal
las Medidas de
rendición de cuentas.
de
Aplicables a los
Cumplimiento
Cotidiano de
a
la
legislación
vigente.
Seguridad
Datos Personales.
acuerdo
Un
4.1.1 Alta Dirección.
representante
de
dirección
designado
responsable
de
la
la
alta
como
información
personal.
385
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Medidas de
Seguridad.
Identificador y
nombre
Descripción
Objetivo de Control
4.1.3
de
Representantes
protección
de
datos.
Definición
de responsables del
procesamiento
personal
de
información
dentro
de
la
organización.
SEGURIDAD
4.13
Cuestiones
de
Seguridad.
Todo
responsable
tratamiento
de
que
datos
lleve
a
personales
cabo
4.13.1
deberá
permitan
técnicas
proteger
los
y
físicas
datos
información personal
de
Seguridad.
establecer y mantener medidas de seguridad
administrativas,
Controles
que
4.13.2
personales
Manejo
y
31
No
adoptarán
medidas
de
seguridad
menores a aquellas que mantengan para el
manejo de su información.
Art. 4
Art. 19
Art. 9
medidas de
seguridad y Análisis
de Brecha.
Establecer
4.13.4
Controles
seguro
de
la
segura de información personal.
de
acceso.
procedimientos
para
restringir el acceso a información
personal
solo
a
personal
autorizado.
Cuando el encargado se encuentre ubicado
en territorio mexicano, le serán aplicables las
4.13.5 Revisiones de
disposiciones relativas a las medidas de
Seguridad.
4.13.6
Gestión
incidentes
Seguridad.
Ejecución
periódica
de
evaluaciones a los controles de
seguridad.
seguridad contenidas en el Capítulo III de
Reglamento.
almacenamiento
Procedimientos para la transmisión
4.13.3 Transmisión.
Identificación de las
Art. 57
Procedimientos para el manejo y
información personal.
contra daño, pérdida, alteración, destrucción
Paso 6.
Establecimiento de controles con
base en una evaluación de riesgos.
almacenamiento.
o el uso, acceso o tratamiento no autorizado.
Actividades para asegurar que la
de
Procedimientos
de
identificación
y
para
la
tratamiento
de
incidentes de seguridad.
386
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
El responsable determinará las medidas de
seguridad aplicables a los datos personales
que trate, considerando el riesgo existente,
adicional,
el
I. El número de titulares;
personal
de
información
riesgo
por
Art. 19
el
valor
Art. 60
autorizada
alto
Evaluación
de
para
administración
relacionados
de
a
la
la
riesgos
información
Personales.
potencial
para
de
riesgo.
de los Datos
4.13.1
los datos personales tratados para una
no
personal
de
Análisis de Riesgo
cuantitativo o cualitativo que pudieran tener
persona
registro
Paso 5. Realizar el
los sistemas de tratamiento;
riesgo
y
personal.
II. Las vulnerabilidades previas ocurridas en
tercera
Identificación
responsable
elementos:
El
Información
Riesgos.
procurará tomar en cuenta los siguientes
III.
4.2.2
4.4
tecnológico.
32
Descripción
Procedimiento
la sensibilidad de los datos y el desarrollo
manera
nombre
Objetivo de Control
alto.
las posibles consecuencias para los titulares,
De
Identificador y
Controles
de
Establecimiento de controles con
Seguridad.
base en una evaluación de riesgos.
3.4 Contenido de la
Lineamientos sobre el contenido
política.
de la política.
su
posesión, y
IV. Demás factores que puedan incidir en el
nivel de riesgo o que resulten de otras leyes
o regulación aplicable al responsable.
33
Elaborar un inventario de datos personales y
de los sistemas de tratamiento.
Paso 4. Elaborar un
Art. 61 - I
Inventario de Datos
Personales.
Debe ser mantenido un inventario
4.2.1 General.
de las categorías de información
personal
387
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
4.2.2
Información
Identificación
personal
de
información
riesgo
alto.
y
registro
personal
de
de
alto
riesgo.
Definición de la responsabilidad
3.5 Responsabilidad y
de sobre la información personal
rendición de cuentas.
de
acuerdo
a
la
legislación
vigente.
Un
Paso 3. Establecer
34
Determinar las funciones y obligaciones de
las personas que traten datos personales.
4.1.1 Alta Dirección.
Funciones y
Art. 61 - II
Obligaciones de
Quienes Traten
Datos Personales.
personales
que
consiste
en
identificar
peligros y estimar los riesgos a los datos
personales.
Art. 61 - III
Análisis de Riesgo
de
la
de
personal
información
Designación
para vigilar el cumplimiento de
para
el
cumplimiento con la
políticas
política.
información personal.
Representantes
protección
de
y
Definición
procedimientos
4.2.2
Información
Identificación
personal
de
información
riesgo
alto.
de
información
dentro
y
de
la
registro
personal
de
de
alto
riesgo.
Procedimiento
4.4
de
de responsables del
procesamiento
personal
clave
organización.
de los Datos
Personales.
responsable
alta
como
diaria
datos.
35
la
4.1.2 Responsabilidad
de
Paso 5. Realizar el
de
designado
personal.
4.1.3
Contar con un análisis de riesgos de datos
representante
dirección
Evaluación
Riesgos.
de
para
administración
relacionados
de
a
la
la
riesgos
información
personal.
388
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
4.13.1
Controles
de
Seguridad.
Establecimiento de controles con
base en una evaluación de riesgos.
Paso 6.
Establecer
36
las
medidas
de
seguridad
aplicables a los datos personales e identificar
Identificación de las
Art. 61 - IV
aquéllas implementadas de manera efectiva.
medidas de
seguridad y Análisis
4.13.5 Revisiones de
Seguridad.
Ejecución
periódica
de
evaluaciones a los controles de
seguridad.
de Brecha.
4.5
Realizar el análisis de brecha que consiste en
Paso 6.
la diferencia de las medidas de seguridad
37
existentes y aquéllas faltantes que resultan
Identificación de las
Art. 61 - V
necesarias para la protección de los datos
medidas de
seguridad y Análisis
personales.
de Brecha.
Manteniendo
Proceso para determinar que el
actualizado el Sistema
PIMS se encuentra actualizado y
de
conforme a los requerimientos de
Gestión
de
Información Personal.
4.13.5 Revisiones de
Seguridad.
Elaborar
38
un
plan
de
trabajo
para
la
implementación de las medidas de seguridad
Art. 61 - VI
faltantes, derivadas del análisis de brecha.
periódica
de
evaluaciones a los controles de
Proceso de revisión del PIMS por
5.2 Revisión gerencial.
las Medidas de
Seguridad
Ejecución
seguridad.
Paso 7.
Implementación de
la regulación vigente.
parte de la gerencia orientado a la
mejora continua.
6.1
Aplicables a los
preventivas
Datos Personales.
correctivas.
Acciones
y
Definición
y
seguimiento
de
acciones orientadas a la mejora
del PIMS.
Plan de Trabajo
para la
Implementación de
Mejora de la eficacia del PIMS con
6.2 Mejora continua.
las Medidas de
respecto
a
las
métricas
establecidas.
Seguridad Faltantes.
39
Llevar a cabo revisiones o auditorías.
Art. 61 - VII
Paso 8. Revisiones y
Auditoría.
4.13.5 Revisiones de
Seguridad.
Ejecución
periódica
de
evaluaciones a los controles de
seguridad.
389
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Actividades para la ejecución de
5.1 Auditoría interna.
auditorías sobre el PIMS
Paso 9. Mejora
40
Capacitar
al
personal
que
efectúe
el
tratamiento de datos personales.
Art. 61 - VIII
Continua y
Capacitación.
Actividades para asegurar que el
4.3 Entrenamiento y
personal
concientización.
responsabilidades cuando procesa
Capacitación.
conozca
sus
información personal.
Paso 5. Realizar el
41
Realizar un registro de
los medios de
almacenamiento de los datos personales.
Análisis de Riesgo
Art. 61 - IX
de los Datos
Personales.
4.13.2
Manejo
y
almacenamiento.
Procedimientos para el manejo y
almacenamiento
seguro
de
la
información personal.
3. Acciones a
42
Contar con una relación de las medidas de
seguridad.
implementar para la
Art. 61
seguridad de los
datos personales
4.13.1
Controles
de
Establecimiento de controles con
Seguridad.
base en una evaluación de riesgos.
4.5
documentadas.
Manteniendo
Proceso para determinar que el
actualizado el Sistema
PIMS se encuentra actualizado y
I. Se modifiquen las medidas o procesos de
de
conforme a los requerimientos de
seguridad para su mejora continua, derivado
Información Personal.
Actualizar las medidas de seguridad cuando:
de las revisiones a la política de seguridad
43
del responsable.
II. Se produzcan modificaciones sustanciales
en el tratamiento que deriven en un cambio
del nivel de riesgo.
III. Se vulneren los sistemas de tratamiento,
de conformidad con lo dispuesto en el
Art. 62
Paso 8. Revisiones y
Auditoría.
Gestión
de
4.13.5 Revisiones de
Seguridad.
5.1 Auditoría interna.
5.2 Revisión gerencial.
la regulación vigente.
Ejecución
periódica
de
evaluaciones a los controles de
seguridad.
Actividades para la ejecución de
auditorías sobre el PIMS.
Proceso de revisión del PIMS por
parte de la gerencia orientado a la
390
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
artículo 20 de la Ley y 63 de su Reglamento.
IV.
Exista
una
afectación
a
los
mejora continua.
datos
6.1
personales distinta a las anteriores.
Acciones
preventivas
En el caso de datos personales sensibles, los
y
correctivas.
responsables procurarán revisar y, en su caso,
Definición
y
seguimiento
de
acciones orientadas a la mejora
del PIMS.
Mejora de la eficacia del PIMS con
actualizar las relaciones correspondientes una
6.2 Mejora continua.
vez al año.
respecto
a
las
métricas
establecidas.
VULNERACIONES A LA SEGURIDAD
Las vulneraciones de seguridad ocurridas en
cualquier fase del tratamiento que afecten de
Paso 8. Revisiones y
forma significativa los derechos patrimoniales
44
o morales de los titulares, serán informadas
de forma inmediata por el responsable al
titular, a fin de que este último pueda tomar
las medidas correspondientes a la defensa de
Art. 20
Art. 63
Art. 64
Auditoría.
4.13.6
Gestión
Vulneraciones a la
incidentes
Seguridad de la
Seguridad.
de
Procedimientos
de
identificación
y
para
la
tratamiento
de
incidentes de seguridad.
Información.
sus derechos.
391
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
En caso de que ocurra una vulneración a la
seguridad
de
los
datos
personales,
el
responsable deberá informar al titular al
menos lo siguiente:
Paso 8. Revisiones y
I. La naturaleza del incidente.
45
II. Los datos personales comprometidos.
III. Las recomendaciones al titular acerca de
Auditoría.
Art. 65
las medidas que éste pueda adoptar para
4.13.6
Gestión
Vulneraciones a la
incidentes
Seguridad de la
Seguridad.
de
Procedimientos
de
identificación
y
para
la
tratamiento
de
incidentes de seguridad.
Información.
proteger sus intereses.
IV. Las acciones correctivas realizadas de
forma inmediata.
V. Los medios donde puede obtener más
información al respecto.
En caso de que ocurra una vulneración a los
datos
personales,
el responsable
deberá
Paso 8. Revisiones y
analizar las causas por las cuales se presentó
46
e
implementar
las
acciones
correctivas,
Auditoría.
Art. 66
4.13.6
Gestión
Vulneraciones a la
incidentes
preventivas y de mejora para adecuar las
Seguridad de la
Seguridad.
medidas de seguridad correspondientes, a
Información.
de
Procedimientos
de
identificación
y
para
la
tratamiento
de
incidentes de seguridad.
efecto de evitar que la vulneración se repita.
ENCARGADO
El
47
encargado
tendrá
las
siguientes
obligaciones respecto del tratamiento que
realice por cuenta del responsable:
Procedimientos
Art. 50
1. Recomendación
General.
donde
se
4.8.3 Intercambios de
establezcan las responsabilidades
datos.
de las partes para la transmisión
de datos.
392
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
I. Tratar únicamente los datos personales
conforme a las instrucciones del responsable.
II. Abstenerse de tratar los datos personales
para finalidades distintas a las instruidas por
el responsable.
III. Implementar las medidas de seguridad
conforme a la Ley, su Reglamento y las
demás disposiciones aplicables.
IV. Guardar confidencialidad respecto de los
Procedimientos para asegurar que
datos personales tratados.
V. Suprimir los datos personales objeto de
4.16
tratamiento una vez cumplida la relación
subcontratado.
jurídica
con
el
responsable
o
Procesamiento
por
la información personal procesada
por otra organización cumpla con
los requerimientos y legislación
vigentes.
instrucciones del responsable, siempre y
cuando no exista una previsión legal que
exija la conservación de los datos personales.
VI.
Abstenerse
de
transferir
los
datos
personales salvo en el caso de que el
responsable
así
lo
determine,
la
comunicación derive de una subcontratación,
o
cuando
así
lo
requiera
la
autoridad
competente.
SUBCONTRATACIONES
La
48
relación
entre
el
responsable
y
el
encargado deberá estar establecida mediante
cláusulas contractuales u otro instrumento
jurídico que decida el responsable, que
Paso 7.
Art. 51
Implementación de
las Medidas de
Seguridad
Procedimientos
donde
se
4.8.3 Intercambios de
establezcan las responsabilidades
datos.
de las partes para la transmisión
de datos.
393
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
permita acreditar su existencia, alcance y
Identificador y
nombre
Aplicables a los
contenido.
Descripción
Objetivo de Control
Procedimientos para asegurar que
Datos Personales.
Cumplimiento
4.16
Procesamiento
Cotidiano de
subcontratado.
Medidas de
la información personal procesada
por otra organización cumpla con
los requerimientos y legislación
vigentes.
Seguridad.
Toda subcontratación de servicios por parte
del encargado que implique el tratamiento
de datos personales deberá ser autorizada
por el responsable, y se realizará en nombre
y por cuenta de este último.
Una
vez
obtenida
la
autorización,
Paso 7.
el
Implementación de
encargado deberá formalizar la relación con
el
subcontratado
a
través
de
contractuales u otro instrumento jurídico que
49
permita acreditar su existencia, alcance y
contenido.
En caso de que la subcontratación no haya
sido prevista en cláusulas contractuales, el
encargado deberá obtener la autorización
correspondiente
del
las Medidas de
cláusulas
responsable
Procedimientos para asegurar que
Seguridad
Art. 54
Aplicables a los
Art. 55
Datos Personales.
Cumplimiento
Cotidiano de
4.16
Procesamiento
subcontratado.
la información personal procesada
por otra organización cumpla con
los requerimientos y legislación
vigentes.
Medidas de
Seguridad.
previamente.
La
obligación
de
acreditar
que
la
subcontratación se realizó con autorización
del responsable corresponderá al encargado.
CÓMPUTO EN LA NUBE
394
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Para el tratamiento de datos personales en
servicios, aplicaciones e infraestructura en el
denominado cómputo en la nube, en los que
Procedimientos
el responsable se adhiera a los mismos
donde
se
mediante condiciones o cláusulas generales
4.8.3 Intercambios de
establezcan las responsabilidades
de contratación, sólo podrá utilizar aquellos
datos.
de las partes para la transmisión
de datos.
servicios en los que el proveedor cumpla, al
menos, con lo siguiente:
Paso 7.
a) Tener y aplicar políticas de protección de
Implementación de
datos personales afines a los principios y
las Medidas de
deberes aplicables que establece la Ley y su
Seguridad
Reglamento;
50
Art. 52 - I
b) Transparentar las subcontrataciones que
Aplicables a los
Datos Personales.
Cumplimiento
involucren la información sobre la que se
Cotidiano de
presta el servicio;
Procedimientos para asegurar que
Medidas de
Seguridad.
c) Abstenerse de incluir condiciones en la
4.16
Procesamiento
subcontratado.
prestación del servicio que le autoricen o
la información personal procesada
por otra organización cumpla con
los requerimientos y legislación
vigentes.
permitan asumir la titularidad o propiedad de
la información sobre la que presta el servicio,
y
d) Guardar confidencialidad respecto de los
datos personales sobre los que se preste el
servicio.
51
Para el tratamiento de datos personales en
Art. 52 - II
Paso 7.
4.7.1
Recolección
y
Procedimientos para asegurar el
395
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
servicios, aplicaciones e infraestructura en el
Implementación de
denominado cómputo en la nube, en los que
las Medidas de
el responsable se adhiera a los mismos
Seguridad
mediante condiciones o cláusulas generales
Aplicables a los
de contratación, sólo podrá utilizar aquellos
Datos Personales.
servicios en los que el proveedor cuente con
Cumplimiento
mecanismos, al menos, para:
Cotidiano de
Medidas de
a) Dar a conocer cambios en sus políticas de
Identificador y
nombre
Descripción
Objetivo de Control
procesamiento
de
información personal.
cumplimiento
con
regulaciones
en
las
leyes
cuanto
y
a
recopilación y procesamiento de
información personal.
Procedimientos
4.8.3 Intercambios de
datos.
donde
se
establezcan las responsabilidades
de las partes para la transmisión
de datos.
Seguridad.
privacidad o condiciones del servicio que
presta;
b) Permitir al responsable limitar el tipo de
tratamiento de los datos personales sobre los
que se presta el servicio;
c)
Establecer
y
mantener
medidas
de
seguridad adecuadas para la protección de
los datos personales sobre los que se preste
el servicio;
Procedimientos para asegurar que
4.16
Procesamiento
subcontratado.
la información personal procesada
por otra organización cumpla con
los requerimientos y legislación
vigentes.
d) Garantizar la supresión de los datos
personales una vez que haya concluido el
servicio prestado al responsable, y que este
último haya podido recuperarlos, y
e) Impedir el acceso a los datos personales a
personas que no cuenten con privilegios de
396
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
acceso, o bien en caso de que sea a solicitud
fundada
y
competente,
motivada
informar
de
de
autoridad
ese
hecho
al
responsable.
TRANSFERENCIAS
Cuando el responsable pretenda transferir los
52
datos personales a terceros nacionales o
Paso 7.
extranjeros, distintos del encargado, deberá
Implementación de
comunicar a éstos el aviso de privacidad y las
las Medidas de
finalidades a las que el titular sujetó su
Art. 68
Seguridad
tratamiento.
Art. 71
Aplicables a los
Art. 72
Datos Personales.
Art. 74
Cumplimiento
El tratamiento de los datos se hará conforme
a lo convenido en el aviso de privacidad, el
Art. 36
cual contendrá una cláusula en la que se
Cotidiano de
indique
la
Medidas de
transferencia de sus datos, de igual manera,
Seguridad.
si
el
titular
acepta
o
no
4.8.2 Consentimiento
para
nuevos
propósitos.
Actividades para asegurar que el
consentimiento
de
propósitos
otorgado
es
nuevos
e
informado.
Procedimientos
donde
se
4.8.3 Intercambios de
establezcan las responsabilidades
datos.
de las partes para la transmisión
de datos.
el tercero receptor, asumirá las mismas
397
N°
Requerimiento normativo
obligaciones
que
correspondan
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
al
Procedimientos para asegurar que
responsable que transfirió los datos.
4.16
Procesamiento
subcontratado.
la información personal procesada
por otra organización cumpla con
los requerimientos y legislación
vigentes.
Paso 7.
Para
efectos
transferencia,
de
demostrar
sea
ésta
que
la
nacional
o
Implementación de
las Medidas de
Seguridad
internacional, se realiza conforme a lo que
53
establece la Ley y su Reglamento, la carga de
Art. 69
la prueba recaerá, en todos los casos, en el
Procedimientos
de los datos personales.
datos.
de las partes para la transmisión
de datos.
Aplicables a los
Datos Personales.
Procedimientos para asegurar que
Cotidiano de
4.16
Medidas de
subcontratado.
Procesamiento
Seguridad.
En
el
caso
de
transferencias
de
la información personal procesada
por otra organización cumpla con
los requerimientos y legislación
vigentes.
datos
personales entre sociedades controladoras,
54
se
establezcan las responsabilidades
Cumplimiento
responsable que transfiere y en el receptor
donde
4.8.3 Intercambios de
subsidiarias o afiliadas bajo el control común
del mismo grupo del responsable, o a una
sociedad matriz o a cualquier sociedad del
Procedimientos
Art. 70
1. Recomendación
General
donde
se
4.8.3 Intercambios de
establezcan las responsabilidades
datos.
de las partes para la transmisión
de datos.
mismo grupo del responsable, el mecanismo
398
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
para garantizar que el receptor de los datos
personales cumplirá con las disposiciones
previstas en la Ley, su Reglamento y demás
Procedimientos para asegurar que
normativa aplicable, podrá ser la existencia
4.16
de normas internas de protección de datos
Procesamiento
subcontratado.
personales cuya observancia sea vinculante,
siempre y cuando éstas cumplan con lo
establecido en la Ley, su
la información personal procesada
por otra organización cumpla con
los requerimientos y legislación
vigentes.
Reglamento y
demás normativa aplicable.
Paso 7.
Implementación de
La
transferencia
deberá
formalizarse
las Medidas de
mediante algún mecanismo que permita
55
Art. 73
Aplicables a los
comunicó
Art. 75
Datos Personales.
responsable
receptor
las
de las partes para la transmisión
de datos.
Procedimientos para asegurar que
Cumplimiento
4.16
tratamiento de sus datos personales.
Cotidiano de
subcontratado.
Seguridad.
se
datos.
condiciones en las que el titular consintió el
Medidas de
donde
establezcan las responsabilidades
Seguridad
demostrar que el responsable transferente
al
Procedimientos
4.8.3 Intercambios de
Procesamiento
la información personal procesada
por otra organización cumpla con
los requerimientos y legislación
vigentes.
399
4.14 NIST SP 800-14 Generally Accepted Principles and Practices for Securing Information
Technology Systems.
Introducción. Este estándar proporciona principios y prácticas generalmente aceptadas para el aseguramiento de
tecnologías de información. Los principios direccionan la seguridad desde un punto de vista de alto nivel; siendo las
prácticas las que muestran lo que se debe hacer para mejorar y medir un programa de seguridad existente o en
desarrollo.
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
RESPONSABLE
2
Principios
Generalmente
1
Principios de seguridad utilizados
como guía para el mantenimiento
Los responsables en el tratamiento de datos
Aceptados
de
y desarrollo de programas de
personales, deberán observar los principios
Seguridad
del
seguridad,
de
licitud,
consentimiento,
información,
calidad, finalidad, lealtad, proporcionalidad y
Art. 6
Art. 9
1. Recomendación
General.
responsabilidad, previstos en la Ley.
Sistema.
3 Prácticas Comunes
de Seguridad de TI.
políticas
y
procedimientos.
Actividades
a
realizar
para el establecimiento
mínimas
de un
programa de seguridad.
LICITUD Y LEALTAD
400
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Los datos personales deberán recabarse y
tratarse de manera lícita, privilegiando la
protección de los intereses del titular y la
expectativa
2
razonable
de
privacidad,
sin
importar la fuente de la que se obtienen los
datos.
Art. 7
Art. 7
Art. 10
Art. 44
Paso 1. Alcance y
Objetivos.
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
La obtención de datos personales no debe
hacerse a través de medios engañosos o
fraudulentos.
CONSENTIMIENTO
El tratamiento de datos personales estará
sujeto al consentimiento de su titular, salvo
las excepciones previstas por la Ley.
Los
3
patrimoniales
Art. 11
requerirán consentimiento expreso de su
datos
financieros
o
Art. 12
titular.
Art. 8
Art. 15
Paso 2. Política de
Gestión de Datos
Personales.
Cuando los datos personales se obtengan
personalmente o de manera directa de su
titular, el consentimiento deberá ser previo al
tratamiento.
El responsable
4
deberá
facilitar al titular
medios sencillos y gratuitos para manifestar
su consentimiento expreso.
Paso 2. Política de
Art. 8
Art. 16
Gestión de Datos
Personales.
401
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Tratándose de datos personales sensibles, el
responsable
deberá
obtener
el
consentimiento expreso y por escrito del
titular
para
su
tratamiento.
Paso 2. Política de
5
No podrán crearse bases de datos que
Art. 9
Art. 56
contengan datos personales sensibles, sin
Gestión de Datos
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Personales.
que se justifique la creación de las mismas
para
finalidades
legítimas,
concretas
y
acordes con las actividades o fines explícitos
que persigue el sujeto regulado.
Paso 7.
Implementación de
las Medidas de
Para efectos de demostrar la obtención del
6
consentimiento,
recaerá,
en
responsable.
la
todos
carga
los
de
la
casos,
prueba
en
el
Seguridad
Art. 20
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
INFORMACIÓN
402
N°
Requerimiento normativo
A
través
del
aviso
de
privacidad,
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
el
responsable tendrá la obligación de informar
a los titulares, los datos que recaba, las
finalidades necesarias y las que no lo son
para
la
relación
jurídica,
así
como
las
características principales de su tratamiento.
Cuando se traten datos personales como
7
parte de un proceso de toma de decisiones
sin que intervenga la valoración de una
persona
física,
el
responsable
Art. 14
Art. 15
Art. 23
Art. 112
deberá
Paso 2. Política de
Gestión de Datos
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Personales.
informar al titular que esta situación ocurre.
Si obtiene los datos de manera automática,
deberá informar al titular sobre el uso de
estas tecnologías y la forma en que podrá
deshabilitarlas.
Paso 7.
Implementación de
Cuando los datos personales sean obtenidos
directamente
8
del
titular,
el
aviso
las Medidas de
de
Seguridad
privacidad debe ponerse a disposición de los
Art. 3, I
titulares a través de formatos impresos,
Art. 17
Art. 27
Aplicables a los
Datos Personales.
digitales, visuales, sonoros o cualquier otra
Cumplimiento
tecnología.
Cotidiano de
Medidas de
Seguridad.
403
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
El aviso de privacidad
debe contener un
mecanismo,
el
para
que
titular
Implementación de
las Medidas de
pueda
manifestar su negativa al tratamiento de sus
9
datos
personales.
Cuando
los
datos
se
Art. 14
Art. 18
obtengan de manera indirecta del titular, el
Art. 29
Art. 32
responsable deberá darle a conocer el aviso
Seguridad
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Cumplimiento
Cotidiano de
de privacidad y sus cambios.
Medidas de
Seguridad
Paso 7.
Implementación de
las Medidas de
Para efectos de demostrar la puesta a
disposición
10
del
aviso
de
privacidad
Seguridad
en
cumplimiento del principio de información, la
Art. 31
carga de la prueba recaerá, en todos los
Aplicables a los
Datos Personales.
Cumplimiento
casos, en el responsable.
Cotidiano de
Medidas de
Seguridad.
CALIDAD
3.10 Seguridad física
El responsable procurará que los datos
personales contenidos en las bases de datos
11
sean
exactos,
completos,
pertinentes,
correctos y actualizados según se requiera
para el cumplimiento de la finalidad para la
cual son tratados.
Paso 2. Política de
Art. 11
Art. 36
y ambiental.
Gestión de Datos
Personales.
Actividades
para
implementación
de
la
seguridad
física y control ambiental.
Prácticas para la definición de
3.11 Identificación y
controles
autenticación.
rastreabilidad y responsabilidad en
para
mantener
la identificación y autenticación.
404
la
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
3.12
Control
de
acceso lógico.
Actividades
para
restringir
el
acceso al personal de acuerdo a
sus responsabilidades o tareas.
Cuando los datos de carácter personal hayan
dejado
de
ser
necesarios
para
el
cumplimiento de las finalidades previstas por
el aviso de privacidad y las disposiciones
legales aplicables, deberán ser cancelados,
previo bloqueo de los mismos.
12
Art. 3 III
El responsable de la base de datos estará
Art. 11
Paso 2. Política de
Art. 37
Personales.
obligado a eliminar la información relativa al
incumplimiento
de
Gestión de Datos
3.4.6
Fase
de
Eliminación.
Actividades a considerar para el
establecimiento de un proceso de
eliminación seguro.
obligaciones
contractuales, una vez que transcurra un
plazo de setenta y dos meses, contado a
partir de la fecha calendario en que se
presente el mencionado incumplimiento.
El responsable establecerá y documentará
13
procedimientos para la conservación y, en su
caso, bloqueo y supresión de los datos
Paso 2. Política de
Art. 38
Gestión de Datos
Personales.
personales.
3.4.6
Fase
de
Eliminación.
Actividades a considerar para el
establecimiento de un proceso de
eliminación seguro.
Paso 7.
Implementación de
Al responsable le corresponde demostrar que
14
los datos personales se conservan, o en su
caso, bloquean, suprimen o cancelan.
las Medidas de
Art. 39
Seguridad
Aplicables a los
3.4.6
Fase
Eliminación.
de
Actividades a considerar para el
establecimiento de un proceso de
eliminación seguro.
Datos Personales.
Cumplimiento
405
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Cotidiano de
Medidas de
Seguridad.
FINALIDAD
El tratamiento de datos personales deberá
limitarse al cumplimiento de las finalidades
previstas en el aviso de privacidad.
Si el responsable pretende tratar los datos
para un fin distinto al establecido, deberá
obtener nuevamente el consentimiento del
15
titular.
Art. 12
Art. 40
Paso 2. Política de
Art. 42
Gestión de Datos
Art. 43
Personales.
NO APLICA
NO APLICA
NO APLICA
NO APLICA
El titular podrá oponerse o revocar su
consentimiento para las finalidades distintas
a las que dieron origen a la relación jurídica,
sin que ello tenga como consecuencia la
conclusión del tratamiento.
PROPORCIONALIDAD
El tratamiento de datos personales será el
que resulte necesario, adecuado y relevante
en relación con las finalidades previstas en el
16
aviso de privacidad. En particular para datos
personales sensibles, el responsable deberá
Art. 13
Art. 45
Art. 46
Paso 2. Política de
Gestión de Datos
Personales.
limitar el periodo de tratamiento al mínimo
indispensable.
CONFIDENCIALIDAD
406
N°
17
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
El responsable o terceros que intervengan en
2.5
cualquier fase del tratamiento de datos
responsabilidades y la
Establecimiento
rendición de cuentas
responsabilidades a cada uno de
de la Seguridad en
los actores involucrados en el
Cómputo deben ser
programa.
personales deberán guardar confidencialidad
respecto de éstos, obligación que subsistirá
Paso 2. Política de
Art. 21
Art. 9
Gestión de Datos
Personales.
aun después de finalizar sus relaciones con el
titular o, en su caso, con el responsable.
Las
de
las
hechas explícitas.
RESPONSABILIDAD
El responsable tiene la obligación de velar y
2
responder por el tratamiento de los datos
Generalmente
personales en su posesión, debiendo adoptar
Aceptados
de
y desarrollo de programas de
las medidas necesarias.
Seguridad
del
seguridad,
Paso 2. Política de
18
El responsable deberá tomar las medidas
Art. 14
Art. 47
necesarias y suficientes para garantizar que el
Principios
Principios de seguridad utilizados
como guía para el mantenimiento
Sistema.
políticas
y
procedimientos.
Gestión de Datos
Personales.
aviso de privacidad dado a conocer al titular,
3 Prácticas Comunes
sea respetado en todo momento por él o
de Seguridad de TI
por terceros con los que guarde alguna
Actividades
mínimas
a
realizar
para el establecimiento
de un
programa de seguridad.
relación jurídica.
Los responsables deberán adoptar medidas
19
para
garantizar
el
debido
tratamiento,
privilegiando los intereses del titular y la
expectativa razonable de privacidad.
Paso 5. Realizar el
Art. 14
Art. 48
Análisis de Riesgo
de los Datos
3.3.1 Evaluación del
Actividades para la identificación,
Riesgo.
análisis e interpretación de riesgos.
Personales.
407
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Elaborar políticas y programas de privacidad
20
obligatorios y exigibles al interior de la
21
en
práctica
personal
un
programa
de
22
Gestión de Datos
sobre
las
obligaciones
en
Art. 48 - II
un
sistema
de
supervisión
Continua y
Capacitación.
y
vigilancia interna, verificaciones o auditorías
externas para comprobar el cumplimiento de
Art. 48 - III
Auditoría.
3.8 Concientización y
entrenamiento.
Destinar recursos para la instrumentación de
los programas y políticas de privacidad.
Cómputo
debe
Funciones y
Art. 48 - IV
ser
reevaluada
Datos Personales.
de
concienciación
y
Actividades
continuo
para
y
el
monitoreo
aceptación
de
la
seguridad.
2.3 La Seguridad en
Principio que indica que los costos
Cómputo
de la seguridad no deben exceder
debe
ser
costeable y efectiva.
Obligaciones de
Quienes Traten
Establecimiento de un programa
entrenamiento.
periódicamente.
Paso 3. Establecer
el
seguridad.
2.7 La Seguridad en
Paso 8. Revisiones y
para
establecimiento de una política de
Capacitación.
las políticas de privacidad.
23
Lineamientos
3.1 Política.
Paso 9. Mejora
materia de protección de datos personales.
Establecer
Descripción
Personales.
capacitación, actualización, y concientización
del
nombre
Objetivo de Control
Paso 2. Política de
Art. 48 - I
organización.
Poner
Identificador y
los beneficios esperados.
Actividades para la asignación de
3.2
Gestión
del
Programa.
recursos
y
responsabilidades
asignación
de
para
el
programa de seguridad.
Instrumentar un procedimiento para que se
Paso 5. Realizar el
atienda el riesgo para la protección de datos
24
personales por la implementación de nuevos
productos, servicios, tecnologías y modelos
de negocios, así como para mitigarlos.
Art. 48 - V
Análisis de Riesgo
de los Datos
3.3.1 Evaluación del
Actividades para la identificación,
Riesgo.
análisis e interpretación de riesgos.
Personales.
408
N°
Requerimiento normativo
Revisar
25
periódicamente
las
políticas
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
nombre
Descripción
Objetivo de Control
2.7 La Seguridad en
y
programas de seguridad para determinar las
Identificador y
Art. 48 - VI
modificaciones que se requieran.
Paso 8. Revisiones y
Auditoría.
Cómputo
debe
ser
reevaluada
Actividades
continuo
para
y
el
monitoreo
aceptación
de
la
seguridad.
periódicamente.
Paso 7.
Implementación de
las Medidas de
Establecer
26
procedimientos
para
recibir
Seguridad
y
responder dudas y quejas de los titulares de
Art. 48 - VII
los datos personales.
3.7
Manejo
de
Aplicables a los
Incidentes
de
Proceso para el tratamiento de
Datos Personales.
Seguridad
en
incidentes de seguridad.
Cumplimiento
Cómputo.
Cotidiano de
Medidas de
Seguridad.
Disponer
27
de
mecanismos
para
el
cumplimiento de las políticas y programas de
privacidad, así como de sanciones por su
Paso 3. Funciones y
Art. 48 - VIII
incumplimiento.
Obligaciones de
Quienes Traten
Lineamientos
3.1 Política.
3.9
Paso 6.
los datos personales, es decir, un conjunto
28
de acciones técnicas y administrativas que
permitan garantizar al responsable el
cumplimiento de los principios y obligaciones
que establece la Ley y su Reglamento.
Identificación de las
Art. 48 - IX
medidas de
seguridad y Análisis
de Brecha.
el
seguridad.
Datos Personales.
Establecer medidas para el aseguramiento de
para
establecimiento de una política de
Consideraciones
de Seguridad en el
Actividades
Soporte
relacionadas al soporte de las
Operaciones
y
de
a
implementar
operaciones para prevenir fallas.
Cómputo.
3.10 Seguridad física
y ambiental.
Actividades
para
implementación
de
la
seguridad
física y control ambiental.
3.11 Identificación y
Prácticas para la definición de
autenticación.
controles
para
mantener
409
la
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
rastreabilidad y responsabilidad en
la identificación y autenticación.
3.12
Control
de
acceso lógico.
3.13
Registros
Actividades
para
restringir
el
acceso al personal de acuerdo a
sus responsabilidades o tareas.
de
auditoría.
Establece
que
se
debe
de
mantener un record de registros
de actividad y accesos.
Establece controles para el uso
apropiado
3.14 Criptografía.
de
las
herramientas
criptográficas en el tratamiento de
información.
29
Establecer medidas para la trazabilidad de los
Paso 6.
datos personales, es decir acciones, medidas
Identificación de las
y procedimientos técnicos que
permiten
Art. 48 - X
rastrear a los datos personales durante su
medidas de
seguridad y Análisis
tratamiento.
3.13.1 Contenidos de
los
registros
de
auditoría.
Establece las características básicas
del contenido de auditoría.
de Brecha.
Paso 7.
Implementación de
Todo responsable deberá designar a una
persona,
personales,
30
o
departamento
quien
dará
de
trámite
las Medidas de
datos
a
las
solicitudes de los titulares, para el ejercicio
de los derechos a que se refiere la Ley.
Asimismo fomentará la protección de datos
personales al interior de la organización.
Art. 30
2.5
Las
Seguridad
responsabilidades y la
Establecimiento
Aplicables a los
rendición de cuentas
responsabilidades a cada uno de
de
las
Datos Personales.
de la Seguridad en
los actores involucrados en el
Cumplimiento
Cómputo deben ser
programa.
Cotidiano de
hechas explícitas.
Medidas de
Seguridad.
SEGURIDAD
410
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
3.9
Todo
responsable
tratamiento
de
que
datos
lleve
a
personales
Consideraciones
de Seguridad en el
Actividades
Soporte
relacionadas al soporte de las
Operaciones
cabo
Descripción
Objetivo de Control
y
de
a
implementar
operaciones para prevenir fallas.
Cómputo.
deberá
establecer y mantener medidas de seguridad
administrativas,
permitan
técnicas
proteger
los
y
físicas
datos
que
personales
contra daño, pérdida, alteración, destrucción
o el uso, acceso o tratamiento no autorizado.
Paso 6.
Art. 4
31
No
adoptarán
medidas
de
seguridad
menores a aquellas que mantengan para el
manejo de su información.
Art. 19
Identificación de las
Art. 9
medidas de
Art. 57
seguridad y Análisis
de Brecha.
3.10 Seguridad física
Cuando el encargado se encuentre ubicado
y ambiental.
en territorio mexicano, le serán aplicables las
Actividades
para
implementación
de
la
seguridad
física y control ambiental.
disposiciones relativas a las medidas de
seguridad contenidas en el Capítulo III de
Reglamento.
3.11 Identificación y
autenticación.
Prácticas para la definición de
controles
para
mantener
la
rastreabilidad y responsabilidad en
411
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
la identificación y autenticación.
3.12
Control
de
acceso lógico.
3.13
Registros
auditoría.
Actividades
para
restringir
el
acceso al personal de acuerdo a
sus responsabilidades o tareas.
de
Establece
que
se
debe
de
mantener un record de registros
de actividad y accesos.
Establece controles para el uso
3.14 Criptografía.
apropiado
de
las
herramientas
criptográficas en el tratamiento de
información.
412
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
El responsable determinará las medidas de
seguridad aplicables a los datos personales
que trate, considerando el riesgo existente,
las posibles consecuencias para los titulares,
la sensibilidad de los datos y el desarrollo
tecnológico.
De
manera
adicional,
el
responsable
procurará tomar en cuenta los siguientes
Paso 5. Realizar el
elementos:
32
I. El número de titulares;
Art. 19
Art. 60
II. Las vulnerabilidades previas ocurridas en
El
riesgo
por
el
valor
de los Datos
3.3.1 Evaluación del
Actividades para la identificación,
Riesgo.
análisis e interpretación de riesgos.
Personales.
los sistemas de tratamiento;
III.
Análisis de Riesgo
potencial
cuantitativo o cualitativo que pudieran tener
los datos personales tratados para una
tercera
persona
no
autorizada
para
su
posesión, y
IV. Demás factores que puedan incidir en el
nivel de riesgo o que resulten de otras leyes
o regulación aplicable al responsable.
33
Elaborar un inventario de datos personales y
de los sistemas de tratamiento.
Paso 4. Elaborar un
Art. 61 - I
Inventario de Datos
Personales.
3.6.2
recursos.
Identificar
Actividades para la identificación
de recursos con funciones críticas.
413
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Paso 3. Establecer
34
Determinar las funciones y obligaciones de
las personas que traten datos personales.
Funciones y
Art. 61 - II
Obligaciones de
Quienes Traten
Datos Personales.
Contar con un análisis de riesgos de datos
35
personales
que
consiste
en
identificar
peligros y estimar los riesgos a los datos
Art. 61 - III
Análisis de Riesgo
de los Datos
las
medidas
de
seguridad
aplicables a los datos personales e identificar
Identificación de las
Art. 61 - IV
aquéllas implementadas de manera efectiva.
medidas de
seguridad y Análisis
de Brecha.
37
Realizar el análisis de brecha que consiste en
Paso 6.
la diferencia de las medidas de seguridad
Identificación de las
existentes y aquéllas faltantes que resultan
necesarias para la protección de los datos
personales.
Descripción
2.5
Las
responsabilidades y la
Establecimiento
rendición de cuentas
responsabilidades a cada uno de
de
las
de la Seguridad en
los actores involucrados en el
Cómputo deben ser
programa.
hechas explícitas.
3.3.1 Evaluación del
Actividades para la identificación,
Riesgo.
análisis e interpretación de riesgos.
3.3.1 Evaluación del
Actividades para la identificación,
Riesgo.
análisis e interpretación de riesgos.
Personales.
Paso 6.
36
nombre
Objetivo de Control
Paso 5. Realizar el
personales.
Establecer
Identificador y
Art. 61 - V
medidas de
seguridad y Análisis
de Brecha.
Actividades para la selección e
3.3.2 Mitigación del
implementación de controles para
Riesgo.
la
reducción
del
riesgo
identificado.
Actividades para la selección e
3.3.2 Mitigación del
implementación de controles para
Riesgo.
la
reducción
del
riesgo
identificado.
414
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
Implementación de
las Medidas de
Seguridad
Elaborar
38
un
plan
de
trabajo
para
la
implementación de las medidas de seguridad
Aplicables a los
Art. 61 - VI
faltantes, derivadas del análisis de brecha.
Datos Personales.
Plan de Trabajo
Actividades para la selección e
3.3.2 Mitigación del
implementación de controles para
Riesgo.
la
reducción
del
riesgo
identificado.
para la
Implementación de
las Medidas de
Seguridad Faltantes.
2.7 La Seguridad en
39
Llevar a cabo revisiones o auditorías.
Art. 61 - VII
Paso 8. Revisiones y
Auditoría.
Cómputo
debe
ser
reevaluada
periódicamente.
Paso 9. Mejora
40
Capacitar
al
personal
que
efectúe
el
tratamiento de datos personales.
Art. 61 - VIII
Continua y
Capacitación.
3.8 Concientización y
entrenamiento.
Capacitación.
Actividades
continuo
para
y
el
monitoreo
aceptación
de
la
seguridad.
Establecimiento de un programa
de
concienciación
y
entrenamiento.
Paso 5. Realizar el
41
Realizar un registro de
los medios de
almacenamiento de los datos personales.
Análisis de Riesgo
Art. 61 - IX
de los Datos
Personales.
3.6.2
Identificar
recursos.
3. Acciones a
42
Contar con una relación de las medidas de
seguridad.
Art. 61
implementar para la
seguridad de los
datos personales
Actividades para la identificación
de recursos con funciones críticas.
Actividades para la selección e
3.3.2 Mitigación del
implementación de controles para
Riesgo.
la
reducción
del
riesgo
identificado.
415
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
documentadas.
Identificador y
nombre
Descripción
Objetivo de Control
3.6.2
Identificar
Actividades para la identificación
recursos.
de recursos con funciones críticas.
3.3.1 Evaluación del
Actividades para la identificación,
Riesgo.
análisis e interpretación de riesgos.
Actualizar las medidas de seguridad cuando:
I. Se modifiquen las medidas o procesos de
seguridad para su mejora continua, derivado
de las revisiones a la política de seguridad
del responsable.
II. Se produzcan modificaciones sustanciales
en el tratamiento que deriven en un cambio
43
del nivel de riesgo.
III. Se vulneren los sistemas de tratamiento,
Art. 62
Paso 8. Revisiones y
Auditoría.
de conformidad con lo dispuesto en el
artículo 20 de la Ley y 63 de su Reglamento.
IV.
Exista
una
afectación
a
los
datos
personales distinta a las anteriores.
En el caso de datos personales sensibles, los
responsables procurarán revisar y, en su caso,
actualizar las relaciones correspondientes una
vez al año.
VULNERACIONES A LA SEGURIDAD
416
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Las vulneraciones de seguridad ocurridas en
cualquier fase del tratamiento que afecten de
Paso 8. Revisiones y
forma significativa los derechos patrimoniales
44
o morales de los titulares, serán informadas
de forma inmediata por el responsable al
Art. 20
Art. 63
Art. 64
titular, a fin de que este último pueda tomar
Auditoría.
Vulneraciones a la
Seguridad de la
Información.
las medidas correspondientes a la defensa de
3.7
Manejo
de
Incidentes
de
Proceso para el tratamiento de
Seguridad
en
incidentes de seguridad.
Cómputo.
sus derechos.
En caso de que ocurra una vulneración a la
seguridad
de
los
datos
personales,
el
responsable deberá informar al titular al
menos lo siguiente:
Paso 8. Revisiones y
I. La naturaleza del incidente.
45
II. Los datos personales comprometidos.
III. Las recomendaciones al titular acerca de
las medidas que éste pueda adoptar para
proteger sus intereses.
Auditoría.
Art. 65
Vulneraciones a la
Seguridad de la
Información.
3.7
Manejo
de
Incidentes
de
Proceso para el tratamiento de
Seguridad
en
incidentes de seguridad.
Cómputo.
IV. Las acciones correctivas realizadas de
forma inmediata.
V. Los medios donde puede obtener más
información al respecto.
417
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
En caso de que ocurra una vulneración a los
datos
personales,
el responsable
deberá
Paso 8. Revisiones y
analizar las causas por las cuales se presentó
46
e
implementar
las
acciones
correctivas,
Auditoría.
Art. 66
Vulneraciones a la
preventivas y de mejora para adecuar las
Seguridad de la
medidas de seguridad correspondientes, a
Información.
3.7
Manejo
de
Incidentes
de
Proceso para el tratamiento de
Seguridad
en
incidentes de seguridad.
Cómputo.
efecto de evitar que la vulneración se repita.
ENCARGADO
2.8 La Seguridad en
Limitaciones
obligaciones respecto del tratamiento que
Cómputo
seguridad
realice por cuenta del responsable:
limitada por factores
externas
sociales.
prácticas aceptadas.
El
encargado
tendrá
las
siguientes
programa
por
a
la
de
implicaciones
organización
y
I. Tratar únicamente los datos personales
3.9
conforme a las instrucciones del responsable.
de Seguridad en el
Actividades
II. Abstenerse de tratar los datos personales
Soporte
relacionadas al soporte de las
para finalidades distintas a las instruidas por
Operaciones
el responsable.
47
está
al
III. Implementar las medidas de seguridad
conforme a la Ley, su Reglamento y las
demás disposiciones aplicables.
Art. 50
1. Recomendación
General.
Consideraciones
y
de
a
implementar
operaciones para prevenir fallas.
Cómputo.
3.10 Seguridad física
y ambiental
Actividades
para
implementación
de
la
seguridad
física y control ambiental.
IV. Guardar confidencialidad respecto de los
Prácticas para la definición de
datos personales tratados.
3.11 Identificación y
controles
V. Suprimir los datos personales objeto de
autenticación.
rastreabilidad y responsabilidad en
tratamiento una vez cumplida la relación
jurídica
con
el
responsable
o
por
instrucciones del responsable, siempre y
cuando no exista una previsión legal que
para
mantener
la
la identificación y autenticación.
3.12
Control
acceso lógico.
de
Actividades
para
restringir
el
acceso al personal de acuerdo a
sus responsabilidades o tareas.
418
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
exija la conservación de los datos personales.
VI.
Abstenerse
de
transferir
los
así
lo
datos
determine,
nombre
Descripción
Objetivo de Control
3.13
Registros
de
auditoría.
personales salvo en el caso de que el
responsable
Identificador y
cuando
así
lo
requiera
la
que
se
debe
de
mantener un record de registros
de actividad y accesos.
la
Establece controles para el uso
comunicación derive de una subcontratación,
o
Establece
autoridad
apropiado
3.14 Criptografía.
competente.
de
las
herramientas
criptográficas en el tratamiento de
información.
SUBCONTRATACIONES
Paso 7.
Implementación de
La
relación
entre
el
responsable
y
el
las Medidas de
encargado deberá estar establecida mediante
48
cláusulas contractuales u otro instrumento
2.5
Las
Seguridad
responsabilidades y la
Establecimiento
de
las
Aplicables a los
rendición de cuentas
responsabilidades a cada uno de
Datos Personales.
de la Seguridad en
los actores involucrados en el
permita acreditar su existencia, alcance y
Cumplimiento
Cómputo deben ser
programa.
contenido.
Cotidiano de
hechas explícitas.
jurídico que decida el responsable, que
Art. 51
Medidas de
Seguridad.
419
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Toda subcontratación de servicios por parte
del encargado que implique el tratamiento
de datos personales deberá ser autorizada
por el responsable, y se realizará en nombre
y por cuenta de este último.
Una
vez
obtenida
la
autorización,
Paso 7.
el
Implementación de
encargado deberá formalizar la relación con
el
subcontratado
a
través
de
contractuales u otro instrumento jurídico que
49
las Medidas de
cláusulas
permita acreditar su existencia, alcance y
contenido.
Establecimiento
Art. 54
Aplicables a los
rendición de cuentas
responsabilidades a cada uno de
Art. 55
Datos Personales.
de la Seguridad en
los actores involucrados en el
Cumplimiento
Cómputo deben ser
programa.
Cotidiano de
hechas explícitas.
sido prevista en cláusulas contractuales, el
de
las
Medidas de
encargado deberá obtener la autorización
del
Las
responsabilidades y la
En caso de que la subcontratación no haya
correspondiente
2.5
Seguridad
Seguridad.
responsable
previamente.
La
obligación
de
acreditar
que
la
subcontratación se realizó con autorización
del responsable corresponderá al encargado.
CÓMPUTO EN LA NUBE
50
Para el tratamiento de datos personales en
Paso 7.
servicios, aplicaciones e infraestructura en el
Implementación de
denominado cómputo en la nube, en los que
las Medidas de
el responsable se adhiera a los mismos
Seguridad
mediante condiciones o cláusulas generales
Art. 52 - I
Aplicables a los
2.8 La Seguridad en
Limitaciones
Cómputo
seguridad
está
al
programa
por
limitada por factores
externas
sociales.
prácticas aceptadas.
3.9
Consideraciones
de contratación, sólo podrá utilizar aquellos
Datos Personales.
servicios en los que el proveedor cumpla, al
Cumplimiento
Soporte
menos, con lo siguiente:
Cotidiano de
Operaciones
de Seguridad en el
y
de
a
Actividades
la
organización
a
de
implicaciones
y
implementar
relacionadas al soporte de las
operaciones para prevenir fallas.
420
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Medidas de
a) Tener y aplicar políticas de protección de
Identificador y
nombre
Descripción
Objetivo de Control
Cómputo.
Seguridad.
datos personales afines a los principios y
3.10 Seguridad física
deberes aplicables que establece la Ley y su
y ambiental.
Actividades
para
implementación
de
la
seguridad
física y control ambiental.
Reglamento;
Prácticas para la definición de
b) Transparentar las subcontrataciones que
involucren la información sobre la que se
3.11 Identificación y
controles
para
mantener
la
autenticación.
rastreabilidad y responsabilidad en
la identificación y autenticación.
presta el servicio;
3.12
c) Abstenerse de incluir condiciones en la
Control
de
acceso lógico.
3.13
la información sobre la que presta el servicio,
auditoría.
Registros
para
restringir
el
acceso al personal de acuerdo a
sus responsabilidades o tareas.
prestación del servicio que le autoricen o
permitan asumir la titularidad o propiedad de
Actividades
de
Establece
que
se
debe
de
mantener un record de registros
de actividad y accesos.
y
Establece controles para el uso
d) Guardar confidencialidad respecto de los
apropiado
3.14 Criptografía.
datos personales sobre los que se preste el
servicio.
Para el tratamiento de datos personales en
Paso 7.
servicios, aplicaciones e infraestructura en el
Implementación de
denominado cómputo en la nube, en los que
las Medidas de
mediante condiciones o cláusulas generales
las
herramientas
información.
el responsable se adhiera a los mismos
51
de
criptográficas en el tratamiento de
Seguridad
Art. 52 - II
Aplicables a los
2.8 La Seguridad en
Limitaciones
Cómputo
seguridad
está
al
programa
por
la
implicaciones
limitada por factores
externas
sociales.
prácticas aceptadas.
3.9
a
de
organización
y
Consideraciones
de contratación, sólo podrá utilizar aquellos
Datos Personales.
de Seguridad en el
Actividades
servicios en los que el proveedor cuente con
Cumplimiento
Soporte
relacionadas al soporte de las
mecanismos, al menos, para:
Cotidiano de
Operaciones
Medidas de
Cómputo.
y
de
a
implementar
operaciones para prevenir fallas.
421
N°
Requerimiento normativo
a) Dar a conocer cambios en sus políticas de
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Seguridad.
privacidad o condiciones del servicio que
Identificador y
nombre
Descripción
Objetivo de Control
3.10 Seguridad física
y ambiental.
presta;
Actividades
para
implementación
de
la
seguridad
física y control ambiental.
Prácticas para la definición de
b) Permitir al responsable limitar el tipo de
3.11 Identificación y
controles
tratamiento de los datos personales sobre los
autenticación.
rastreabilidad y responsabilidad en
que se presta el servicio;
c)
Establecer
y
para
mantener
la
la identificación y autenticación.
mantener
medidas
3.12
de
Control
de
acceso lógico.
seguridad adecuadas para la protección de
los datos personales sobre los que se preste
3.13
el servicio;
Registros
auditoría.
Actividades
para
restringir
el
acceso al personal de acuerdo a
sus responsabilidades o tareas.
de
Establece
que
se
debe
de
mantener un record de registros
de actividad y accesos.
d) Garantizar la supresión de los datos
personales una vez que haya concluido el
servicio prestado al responsable, y que este
último haya podido recuperarlos, y
Establece controles para el uso
e) Impedir el acceso a los datos personales a
3.14 Criptografía.
personas que no cuenten con privilegios de
y
competente,
motivada
informar
de
de
autoridad
ese
hecho
de
las
herramientas
criptográficas en el tratamiento de
información.
acceso, o bien en caso de que sea a solicitud
fundada
apropiado
al
responsable.
TRANSFERENCIAS
422
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Cuando el responsable pretenda transferir los
datos personales a terceros nacionales o
52
extranjeros, distintos del encargado, deberá
Paso 7.
comunicar a éstos el aviso de privacidad y las
Implementación de
finalidades a las que el titular sujetó su
las Medidas de
2.5
Las
tratamiento.
Art. 68
Seguridad
responsabilidades y la
Establecimiento
El tratamiento de los datos se hará conforme
Art. 71
Aplicables a los
rendición de cuentas
responsabilidades a cada uno de
Art. 72
Datos Personales.
de la Seguridad en
los actores involucrados en el
Art. 74
programa.
a lo convenido en el aviso de privacidad, el
cual contendrá una cláusula en la que se
Art. 36
Cumplimiento
Cómputo deben ser
la
Cotidiano de
hechas explícitas.
transferencia de sus datos, de igual manera,
Medidas de
el tercero receptor, asumirá las mismas
Seguridad.
indique
si
el
obligaciones
titular
que
acepta
o
no
correspondan
de
las
al
responsable que transfirió los datos.
Paso 7.
Para
efectos
transferencia,
de
demostrar
sea
ésta
que
la
nacional
o
Implementación de
las Medidas de
Seguridad
internacional, se realiza conforme a lo que
53
establece la Ley y su Reglamento, la carga de
la prueba recaerá, en todos los casos, en el
responsable que transfiere y en el receptor
de los datos personales.
Art. 69
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
423
N°
Requerimiento normativo
En
el
caso
de
transferencias
de
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
datos
personales entre sociedades controladoras,
subsidiarias o afiliadas bajo el control común
del mismo grupo del responsable, o a una
sociedad matriz o a cualquier sociedad del
mismo grupo del responsable, el mecanismo
para garantizar que el receptor de los datos
54
personales cumplirá con las disposiciones
Art. 70
previstas en la Ley, su Reglamento y demás
1. Recomendación
General
3.4
Planeación
Ciclo de Vida.
del
Define
las
actividades
para
del programa de seguridad.
normativa aplicable, podrá ser la existencia
de normas internas de protección de datos
personales cuya observancia sea vinculante,
siempre y cuando éstas cumplan con lo
establecido en la Ley, su
Reglamento y
demás normativa aplicable.
Paso 7.
Implementación de
La
transferencia
deberá
formalizarse
las Medidas de
mediante algún mecanismo que permita
55
Seguridad
demostrar que el responsable transferente
Art. 73
Aplicables a los
comunicó
Art. 75
Datos Personales.
al
responsable
receptor
las
condiciones en las que el titular consintió el
Cumplimiento
tratamiento de sus datos personales.
Cotidiano de
NO APLICA
la
administración del ciclo de vida
NO APLICA
Medidas de
Seguridad.
424
4.15 OECD Guidelines for the Security of Information Systems and Networks – Towards a Culture
of Security.
Introducción. Estos lineamientos establecen un marco de trabajo de los principios que aplican a todos los participantes
de la Organización para la Cooperación y el Desarrollo Económicos (OCDE) para la mejora de la seguridad de los
sistemas de información y las redes a fin de promover la prosperidad económica y el desarrollo social.
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
RESPONSABLE
Los
participantes
deben
estar
conscientes de la necesidad por la
1. Concientización.
seguridad
de
los
sistemas
de
información y las redes y lo que
ellos pueden hacer para mejorar la
seguridad.
Los responsables en el tratamiento de datos
Todos
personales, deberán observar los principios
1
de
licitud,
consentimiento,
información,
calidad, finalidad, lealtad, proporcionalidad y
Art. 6
Art. 9
1. Recomendación
General.
2. Responsabilidad.
los
participantes
son
responsables de la seguridad de
los sistemas de información y las
redes.
responsabilidad, previstos en la Ley.
Los participantes deben actuar en
una
3. Respuesta.
manera
cooperativa
detectar,
y
oportuna
para
responder
y
prevenir,
a
los
incidentes de seguridad.
4. Ética.
Los participantes deben respetar
425
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
los intereses legítimos de otros.
La seguridad de los sistemas de
información y las redes deben ser
5. Democracia.
compatibles
con
esenciales
de
los
una
valores
sociedad
democrática.
6.
Evaluación
del
riesgo.
7.
evaluaciones del riesgo.
Diseño
e
implementación de la
seguridad.
8.
Los participantes deben ejecutar
Gestión
Los participantes deben incorporar
la seguridad con un elemento
esencial
de
los
sistemas
de
información y las redes.
de
seguridad.
la
Los participantes deben adoptar
un enfoque exhaustivo para la
gestión de la seguridad.
Los participantes deben revisar y
reevaluar
la
seguridad
de
los
sistemas de información y las
9. Reevaluación.
redes,
y
apropiadas
prácticas,
hacer
a
modificaciones
las
políticas,
medidas,
y
procedimientos de seguridad.
LICITUD Y LEALTAD
426
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Los datos personales deberán recabarse y
tratarse de manera lícita, privilegiando la
protección de los intereses del titular y la
expectativa
2
razonable
de
privacidad,
sin
importar la fuente de la que se obtienen los
datos.
Art. 7
Art. 7
Art. 10
Art. 44
Paso 1. Alcance y
Objetivos.
4. Ética.
Los participantes deben respetar
los intereses legítimos de otros.
La obtención de datos personales no debe
hacerse a través de medios engañosos o
fraudulentos.
CONSENTIMIENTO
El tratamiento de datos personales estará
sujeto al consentimiento de su titular, salvo
las excepciones previstas por la Ley.
Los
3
patrimoniales
Art. 11
requerirán consentimiento expreso de su
datos
financieros
o
Art. 12
titular.
Art. 8
Art. 15
Paso 2. Política de
Gestión de Datos
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Personales.
Cuando los datos personales se obtengan
personalmente o de manera directa de su
titular, el consentimiento deberá ser previo al
tratamiento.
El responsable
4
deberá
facilitar al titular
medios sencillos y gratuitos para manifestar
su consentimiento expreso.
Paso 2. Política de
Art. 8
Art. 16
Gestión de Datos
Personales.
427
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Tratándose de datos personales sensibles, el
responsable
deberá
obtener
el
consentimiento expreso y por escrito del
titular
para
su
tratamiento.
La seguridad de los sistemas de
Paso 2. Política de
5
No podrán crearse bases de datos que
Art. 9
Art. 56
contengan datos personales sensibles, sin
Gestión de Datos
información y las redes deben ser
5. Democracia.
Personales.
esenciales
que se justifique la creación de las mismas
para
finalidades
legítimas,
concretas
compatibles
con
de
los
una
valores
sociedad
democrática.
y
acordes con las actividades o fines explícitos
que persigue el sujeto regulado.
Paso 7.
Implementación de
las Medidas de
Para efectos de demostrar la obtención del
6
consentimiento,
recaerá,
en
responsable.
la
todos
carga
los
de
la
casos,
prueba
en
el
Seguridad
Art. 20
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
INFORMACIÓN
428
N°
Requerimiento normativo
A
través
del
aviso
de
privacidad,
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
el
responsable tendrá la obligación de informar
a los titulares, los datos que recaba, las
finalidades necesarias y las que no lo son
para
la
relación
jurídica,
así
como
las
características principales de su tratamiento.
7
Cuando se traten datos personales como
Art. 14
parte de un proceso de toma de decisiones
Art. 23
sin que intervenga la valoración de una
persona
física,
el
responsable
Art. 15
Art. 112
deberá
Paso 2. Política de
Gestión de Datos
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Personales.
informar al titular que esta situación ocurre.
Si obtiene los datos de manera automática,
deberá informar al titular sobre el uso de
estas tecnologías y la forma en que podrá
deshabilitarlas.
Paso 7.
Implementación de
Cuando los datos personales sean obtenidos
directamente
8
del
titular,
el
aviso
las Medidas de
de
Seguridad
privacidad debe ponerse a disposición de los
Art. 3, I
titulares a través de formatos impresos,
Art. 17
Art. 27
Aplicables a los
Datos Personales.
digitales, visuales, sonoros o cualquier otra
Cumplimiento
tecnología.
Cotidiano de
Medidas de
Seguridad.
429
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
El aviso de privacidad
debe contener un
mecanismo,
el
para
que
titular
Implementación de
las Medidas de
pueda
manifestar su negativa al tratamiento de sus
9
datos
personales.
Cuando
los
datos
se
Art. 14
Art. 18
obtengan de manera indirecta del titular, el
Art. 29
Art. 32
responsable deberá darle a conocer el aviso
Seguridad
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Cumplimiento
Cotidiano de
de privacidad y sus cambios.
Medidas de
Seguridad
Paso 7.
Implementación de
las Medidas de
Para efectos de demostrar la puesta a
disposición
10
del
aviso
de
privacidad
Seguridad
en
cumplimiento del principio de información, la
Art. 31
carga de la prueba recaerá, en todos los
Aplicables a los
Datos Personales.
Cumplimiento
casos, en el responsable.
Cotidiano de
Medidas de
Seguridad.
CALIDAD
El responsable procurará que los datos
4. Ética.
personales contenidos en las bases de datos
11
sean
exactos,
completos,
pertinentes,
correctos y actualizados según se requiera
para el cumplimiento de la finalidad para la
cual son tratados.
Paso 2. Política de
Art. 11
Art. 36
los intereses legítimos de otros.
La seguridad de los sistemas de
Gestión de Datos
Personales.
Los participantes deben respetar
5. Democracia.
información y las redes deben ser
compatibles
esenciales
con
de
los
una
valores
sociedad
430
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
democrática.
Cuando los datos de carácter personal hayan
dejado
de
ser
necesarios
para
el
cumplimiento de las finalidades previstas por
el aviso de privacidad y las disposiciones
legales aplicables, deberán ser cancelados,
previo bloqueo de los mismos.
12
Art. 3 III
El responsable de la base de datos estará
Art. 11
Art. 37
de
7.
Gestión de Datos
implementación de la
Personales.
obligado a eliminar la información relativa al
incumplimiento
Paso 2. Política de
Diseño
e
seguridad.
Los participantes deben incorporar
la seguridad con un elemento
esencial
de
los
sistemas
de
información y las redes.
obligaciones
contractuales, una vez que transcurra un
plazo de setenta y dos meses, contado a
partir de la fecha calendario en que se
presente el mencionado incumplimiento.
El responsable establecerá y documentará
13
procedimientos para la conservación y, en su
caso, bloqueo y supresión de los datos
Art. 38
Paso 2. Política de
7.
Gestión de Datos
implementación de la
Personales.
personales.
Diseño
e
seguridad.
Los participantes deben incorporar
la seguridad con un elemento
esencial
de
los
sistemas
de
información y las redes.
Paso 7.
Implementación de
las Medidas de
Al responsable le corresponde demostrar que
14
los datos personales se conservan, o en su
caso, bloquean, suprimen o cancelan.
Art. 39
Seguridad
Aplicables a los
Datos Personales.
7.
Diseño
e
implementación de la
seguridad.
Los participantes deben incorporar
la seguridad con un elemento
esencial
de
los
sistemas
información y las redes.
Cumplimiento
Cotidiano de
431
de
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Medidas de
Seguridad.
FINALIDAD
El tratamiento de datos personales deberá
limitarse al cumplimiento de las finalidades
previstas en el aviso de privacidad.
4. Ética.
Si el responsable pretende tratar los datos
Los participantes deben respetar
los intereses legítimos de otros.
para un fin distinto al establecido, deberá
obtener nuevamente el consentimiento del
15
titular.
Art. 12
Art. 40
Paso 2. Política de
Art. 42
Gestión de Datos
Art. 43
Personales.
La seguridad de los sistemas de
información y las redes deben ser
El titular podrá oponerse o revocar su
5. Democracia.
consentimiento para las finalidades distintas
compatibles
a las que dieron origen a la relación jurídica,
esenciales
sin que ello tenga como consecuencia la
democrática.
con
de
los
una
valores
sociedad
conclusión del tratamiento.
PROPORCIONALIDAD
El tratamiento de datos personales será el
4. Ética.
que resulte necesario, adecuado y relevante
en relación con las finalidades previstas en el
16
aviso de privacidad. En particular para datos
personales sensibles, el responsable deberá
limitar el periodo de tratamiento al mínimo
indispensable.
Art. 13
Art. 45
Art. 46
Paso 2. Política de
los intereses legítimos de otros.
La seguridad de los sistemas de
Gestión de Datos
Personales.
Los participantes deben respetar
información y las redes deben ser
5. Democracia.
compatibles
esenciales
con
de
los
una
valores
sociedad
democrática.
432
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
CONFIDENCIALIDAD
El responsable o terceros que intervengan en
cualquier fase del tratamiento de datos
17
personales deberán guardar confidencialidad
respecto de éstos, obligación que subsistirá
Paso 2. Política de
Art. 21
Art. 9
Gestión de Datos
Personales.
aun después de finalizar sus relaciones con el
8.
Gestión
de
la
seguridad.
Los participantes deben adoptar
un enfoque exhaustivo para la
gestión de la seguridad.
titular o, en su caso, con el responsable.
RESPONSABILIDAD
El responsable tiene la obligación de velar y
responder por el tratamiento de los datos
personales en su posesión, debiendo adoptar
las medidas necesarias.
Todos
Paso 2. Política de
18
El responsable deberá tomar las medidas
Art. 14
Art. 47
necesarias y suficientes para garantizar que el
Gestión de Datos
los
participantes
son
responsables de la seguridad de
2. Responsabilidad.
los sistemas de información y las
Personales.
redes.
aviso de privacidad dado a conocer al titular,
sea respetado en todo momento por él o
por terceros con los que guarde alguna
relación jurídica.
19
Los responsables deberán adoptar medidas
Paso 5. Realizar el
para
Análisis de Riesgo
garantizar
el
debido
tratamiento,
privilegiando los intereses del titular y la
Art. 14
Art. 48
expectativa razonable de privacidad.
20
Elaborar políticas y programas de privacidad
obligatorios y exigibles al interior de la
de los Datos
8.
Gestión
de
seguridad.
Personales.
Art. 48 - I
Paso 2. Política de
Gestión de Datos
2. Responsabilidad.
la
Los participantes deben adoptar
un enfoque exhaustivo para la
gestión de la seguridad.
Todos
los
participantes
son
responsables de la seguridad de
433
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
organización.
Identificador y
nombre
Descripción
Objetivo de Control
Personales.
los sistemas de información y las
redes.
8.
Gestión
de
la
seguridad.
Los participantes deben adoptar
un enfoque exhaustivo para la
gestión de la seguridad.
Los
Poner
21
en
práctica
un
programa
de
capacitación, actualización, y concientización
del
personal
sobre
las
obligaciones
en
Paso 9. Mejora
Art. 48 - II
materia de protección de datos personales.
Continua y
Capacitación.
participantes
deben
estar
conscientes de la necesidad por la
seguridad
1. Concientización.
de
los
sistemas
de
información y las redes y lo que
Capacitación.
ellos pueden hacer para mejorar la
seguridad.
Los participantes deben revisar y
Establecer
22
un
sistema
de
supervisión
reevaluar
y
vigilancia interna, verificaciones o auditorías
externas para comprobar el cumplimiento de
Art. 48 - III
Paso 8. Revisiones y
Auditoría.
la
seguridad
de
los
sistemas de información y las
9. Reevaluación.
redes,
y
apropiadas
las políticas de privacidad.
prácticas,
hacer
a
modificaciones
las
políticas,
medidas,
y
procedimientos de seguridad.
Paso 3. Establecer
23
Destinar recursos para la instrumentación de
los programas y políticas de privacidad.
Funciones y
Art. 48 - IV
Obligaciones de
Quienes Traten
8.
Gestión
de
la
seguridad.
Los participantes deben adoptar
un enfoque exhaustivo para la
gestión de la seguridad.
Datos Personales.
Instrumentar un procedimiento para que se
24
atienda el riesgo para la protección de datos
personales por la implementación de nuevos
productos, servicios, tecnologías y modelos
Paso 5. Realizar el
Art. 48 - V
Análisis de Riesgo
de los Datos
6.
Evaluación
riesgo.
del
Los participantes deben ejecutar
evaluaciones del riesgo.
Personales.
434
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
de negocios, así como para mitigarlos.
Los participantes deben revisar y
reevaluar
Revisar
25
periódicamente
las
políticas
y
programas de seguridad para determinar las
Art. 48 - VI
modificaciones que se requieran.
Paso 8. Revisiones y
Auditoría.
la
seguridad
de
los
sistemas de información y las
9. Reevaluación.
redes,
y
apropiadas
prácticas,
hacer
a
modificaciones
las
políticas,
medidas,
y
procedimientos de seguridad.
Paso 7.
Implementación de
las Medidas de
Establecer
26
procedimientos
para
recibir
Seguridad
y
responder dudas y quejas de los titulares de
Art. 48 - VII
los datos personales.
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
Disponer
27
de
mecanismos
para
el
cumplimiento de las políticas y programas de
privacidad, así como de sanciones por su
incumplimiento.
Paso 3. Funciones y
Art. 48 - VIII
Obligaciones de
Quienes Traten
Datos Personales.
Todos
2. Responsabilidad.
los
participantes
son
responsables de la seguridad de
los sistemas de información y las
redes.
435
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Establecer medidas para el aseguramiento de
Identificación de las
de acciones técnicas y administrativas que
Art. 48 - IX
permitan garantizar al responsable el
medidas de
seguridad y Análisis
cumplimiento de los principios y obligaciones
Establecer medidas para la trazabilidad de los
Paso 6.
datos personales, es decir acciones, medidas
Identificación de las
y procedimientos técnicos que
Descripción
7.
Diseño
e
implementación de la
seguridad.
permiten
Art. 48 - X
rastrear a los datos personales durante su
medidas de
seguridad y Análisis
tratamiento.
7.
Diseño
e
implementación de la
seguridad.
de Brecha.
Los participantes deben incorporar
la seguridad con un elemento
esencial
de
los
sistemas
de
información y las redes.
de Brecha.
que establece la Ley y su Reglamento.
29
nombre
Objetivo de Control
Paso 6.
los datos personales, es decir, un conjunto
28
Identificador y
Los participantes deben incorporar
la seguridad con un elemento
esencial
de
los
sistemas
de
información y las redes.
Paso 7.
Implementación de
Todo responsable deberá designar a una
persona,
personales,
30
o
departamento
quien
dará
de
trámite
las Medidas de
datos
a
solicitudes de los titulares, para el ejercicio
de los derechos a que se refiere la Ley.
Asimismo fomentará la protección de datos
personales al interior de la organización.
Seguridad
las
Art. 30
Aplicables a los
Datos Personales.
Cumplimiento
Todos
2. Responsabilidad.
los
participantes
son
responsables de la seguridad de
los sistemas de información y las
redes.
Cotidiano de
Medidas de
Seguridad.
SEGURIDAD
436
N°
Requerimiento normativo
Todo
responsable
tratamiento
de
que
datos
lleve
a
personales
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
cabo
deberá
establecer y mantener medidas de seguridad
administrativas,
permitan
técnicas
proteger
los
y
físicas
datos
que
personales
contra daño, pérdida, alteración, destrucción
o el uso, acceso o tratamiento no autorizado.
31
No
adoptarán
medidas
de
seguridad
menores a aquellas que mantengan para el
manejo de su información.
Paso 6.
Art. 19
Art. 4
Identificación de las
Art. 9
medidas de
Art. 57
seguridad y Análisis
de Brecha.
7.
Diseño
e
implementación de la
seguridad.
Los participantes deben incorporar
la seguridad con un elemento
esencial
de
los
sistemas
información y las redes.
Cuando el encargado se encuentre ubicado
en territorio mexicano, le serán aplicables las
disposiciones relativas a las medidas de
seguridad contenidas en el Capítulo III de
Reglamento.
437
de
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
El responsable determinará las medidas de
seguridad aplicables a los datos personales
que trate, considerando el riesgo existente,
las posibles consecuencias para los titulares,
la sensibilidad de los datos y el desarrollo
tecnológico.
De
manera
adicional,
el
responsable
procurará tomar en cuenta los siguientes
Paso 5. Realizar el
elementos:
32
I. El número de titulares;
Art. 19
Art. 60
II. Las vulnerabilidades previas ocurridas en
El
riesgo
por
el
valor
de los Datos
8.
Gestión
de
la
seguridad.
Los participantes deben adoptar
un enfoque exhaustivo para la
gestión de la seguridad.
Personales.
los sistemas de tratamiento;
III.
Análisis de Riesgo
potencial
cuantitativo o cualitativo que pudieran tener
los datos personales tratados para una
tercera
persona
no
autorizada
para
su
posesión, y
IV. Demás factores que puedan incidir en el
nivel de riesgo o que resulten de otras leyes
o regulación aplicable al responsable.
33
Elaborar un inventario de datos personales y
de los sistemas de tratamiento.
Art. 61 - I
Paso 4. Elaborar un
7.
Inventario de Datos
implementación de la
Personales.
Diseño
seguridad.
e
Los participantes deben incorporar
la seguridad con un elemento
esencial
de
los
sistemas
información y las redes.
438
de
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 3. Establecer
34
Determinar las funciones y obligaciones de
las personas que traten datos personales.
Todos
Funciones y
Art. 61 - II
Obligaciones de
2. Responsabilidad.
personales
que
consiste
en
identificar
peligros y estimar los riesgos a los datos
Paso 5. Realizar el
Art. 61 - III
personales.
Análisis de Riesgo
de los Datos
6.
Evaluación
del
riesgo.
36
Los participantes deben ejecutar
evaluaciones del riesgo.
Personales.
Paso 6.
Establecer
son
redes.
Datos Personales.
35
participantes
los sistemas de información y las
Quienes Traten
Contar con un análisis de riesgos de datos
los
responsables de la seguridad de
las
medidas
de
seguridad
aplicables a los datos personales e identificar
Identificación de las
Art. 61 - IV
aquéllas implementadas de manera efectiva.
medidas de
seguridad y Análisis
7.
Diseño
e
implementación de la
seguridad.
de Brecha.
Los participantes deben incorporar
la seguridad con un elemento
esencial
de
los
sistemas
de
información y las redes.
Los participantes deben revisar y
37
Realizar el análisis de brecha que consiste en
Paso 6.
la diferencia de las medidas de seguridad
Identificación de las
existentes y aquéllas faltantes que resultan
necesarias para la protección de los datos
personales.
Art. 61 - V
medidas de
seguridad y Análisis
de Brecha.
reevaluar
la
seguridad
de
los
sistemas de información y las
9. Reevaluación.
redes,
y
apropiadas
prácticas,
hacer
a
modificaciones
las
políticas,
medidas,
y
procedimientos de seguridad.
439
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
Implementación de
las Medidas de
Seguridad
Elaborar
38
un
plan
de
trabajo
para
la
implementación de las medidas de seguridad
Aplicables a los
Art. 61 - VI
faltantes, derivadas del análisis de brecha.
Datos Personales.
Plan de Trabajo
7.
Diseño
e
implementación de la
seguridad.
Los participantes deben incorporar
la seguridad con un elemento
esencial
de
los
sistemas
de
información y las redes.
para la
Implementación de
las Medidas de
Seguridad Faltantes.
Los participantes deben revisar y
reevaluar
39
Llevar a cabo revisiones o auditorías.
Art. 61 - VII
Paso 8. Revisiones y
Auditoría.
la
seguridad
de
los
sistemas de información y las
9. Reevaluación.
redes,
y
hacer
apropiadas
a
prácticas,
modificaciones
las
políticas,
medidas,
y
procedimientos de seguridad.
Los
Paso 9. Mejora
40
Capacitar
al
personal
que
efectúe
el
tratamiento de datos personales.
Art. 61 - VIII
Continua y
Capacitación.
participantes
deben
estar
conscientes de la necesidad por la
seguridad
1. Concientización.
de
los
sistemas
de
información y las redes y lo que
Capacitación.
ellos pueden hacer para mejorar la
seguridad.
Paso 5. Realizar el
41
Realizar un registro de
los medios de
almacenamiento de los datos personales.
Art. 61 - IX
Análisis de Riesgo
de los Datos
Personales.
7.
Diseño
e
implementación de la
seguridad.
Los participantes deben incorporar
la seguridad con un elemento
esencial
de
los
sistemas
información y las redes.
440
de
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
3. Acciones a
42
Contar con una relación de las medidas de
seguridad.
implementar para la
Art. 61
7.
Diseño
e
seguridad de los
implementación de la
datos personales
seguridad.
Los participantes deben incorporar
la seguridad con un elemento
esencial
de
los
sistemas
de
información y las redes.
documentadas.
Actualizar las medidas de seguridad cuando:
I. Se modifiquen las medidas o procesos de
seguridad para su mejora continua, derivado
de las revisiones a la política de seguridad
del responsable.
II. Se produzcan modificaciones sustanciales
en el tratamiento que deriven en un cambio
43
del nivel de riesgo.
III. Se vulneren los sistemas de tratamiento,
Art. 62
Paso 8. Revisiones y
Auditoría.
de conformidad con lo dispuesto en el
8.
Gestión
seguridad.
de
la
Los participantes deben adoptar
un enfoque exhaustivo para la
gestión de la seguridad.
artículo 20 de la Ley y 63 de su Reglamento.
IV.
Exista
una
afectación
a
los
datos
personales distinta a las anteriores.
En el caso de datos personales sensibles, los
responsables procurarán revisar y, en su caso,
actualizar las relaciones correspondientes una
vez al año.
VULNERACIONES A LA SEGURIDAD
441
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Las vulneraciones de seguridad ocurridas en
cualquier fase del tratamiento que afecten de
Paso 8. Revisiones y
forma significativa los derechos patrimoniales
44
o morales de los titulares, serán informadas
de forma inmediata por el responsable al
Art. 20
Art. 63
Art. 64
titular, a fin de que este último pueda tomar
Los participantes deben actuar en
Auditoría.
Vulneraciones a la
una
3. Respuesta.
Seguridad de la
detectar,
Información.
las medidas correspondientes a la defensa de
manera
cooperativa
y
oportuna
para
responder
y
prevenir,
a
los
incidentes de seguridad.
sus derechos.
En caso de que ocurra una vulneración a la
seguridad
de
los
datos
personales,
el
responsable deberá informar al titular al
menos lo siguiente:
Paso 8. Revisiones y
I. La naturaleza del incidente.
45
II. Los datos personales comprometidos.
III. Las recomendaciones al titular acerca de
las medidas que éste pueda adoptar para
proteger sus intereses.
Los participantes deben actuar en
Auditoría.
Art. 65
Vulneraciones a la
Seguridad de la
Información.
una
3. Respuesta.
manera
cooperativa
detectar,
y
oportuna
para
responder
y
prevenir,
a
incidentes de seguridad.
IV. Las acciones correctivas realizadas de
forma inmediata.
V. Los medios donde puede obtener más
información al respecto.
442
los
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
En caso de que ocurra una vulneración a los
datos
personales,
el responsable
deberá
Paso 8. Revisiones y
analizar las causas por las cuales se presentó
46
e
implementar
las
acciones
correctivas,
Los participantes deben actuar en
Auditoría.
Art. 66
Vulneraciones a la
preventivas y de mejora para adecuar las
Seguridad de la
medidas de seguridad correspondientes, a
Información.
una
3. Respuesta.
manera
cooperativa
detectar,
y
oportuna
para
y
prevenir,
responder
a
los
incidentes de seguridad.
efecto de evitar que la vulneración se repita.
ENCARGADO
El
encargado
tendrá
las
siguientes
Los participantes deben respetar
4. Ética.
obligaciones respecto del tratamiento que
realice por cuenta del responsable:
7.
los intereses legítimos de otros.
Diseño
e
implementación de la
I. Tratar únicamente los datos personales
seguridad.
conforme a las instrucciones del responsable.
Los participantes deben incorporar
la seguridad con un elemento
esencial
de
los
sistemas
información y las redes.
II. Abstenerse de tratar los datos personales
para finalidades distintas a las instruidas por
el responsable.
47
III. Implementar las medidas de seguridad
conforme a la Ley, su Reglamento y las
Art. 50
1. Recomendación
General.
demás disposiciones aplicables.
IV. Guardar confidencialidad respecto de los
8. Gestión de la
datos personales tratados.
seguridad.
V. Suprimir los datos personales objeto de
Los participantes deben adoptar
un enfoque exhaustivo para la
gestión de la seguridad.
tratamiento una vez cumplida la relación
jurídica
con
el
responsable
o
por
instrucciones del responsable, siempre y
cuando no exista una previsión legal que
exija la conservación de los datos personales.
443
de
N°
Requerimiento normativo
VI.
Abstenerse
de
transferir
los
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
datos
personales salvo en el caso de que el
responsable
así
lo
determine,
la
comunicación derive de una subcontratación,
o
cuando
así
lo
requiera
la
autoridad
competente.
SUBCONTRATACIONES
Paso 7.
Implementación de
La
48
relación
entre
el
responsable
y
el
las Medidas de
encargado deberá estar establecida mediante
Seguridad
cláusulas contractuales u otro instrumento
Aplicables a los
jurídico que decida el responsable, que
Art. 51
Datos Personales.
permita acreditar su existencia, alcance y
Cumplimiento
contenido.
Cotidiano de
La seguridad de los sistemas de
información y las redes deben ser
5. Democracia
compatibles
esenciales
con
de
los
una
valores
sociedad
democrática.
Medidas de
Seguridad.
444
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Toda subcontratación de servicios por parte
del encargado que implique el tratamiento
de datos personales deberá ser autorizada
por el responsable, y se realizará en nombre
y por cuenta de este último.
Una
vez
obtenida
la
autorización,
Paso 7.
el
Implementación de
encargado deberá formalizar la relación con
el
subcontratado
a
través
de
contractuales u otro instrumento jurídico que
49
las Medidas de
cláusulas
permita acreditar su existencia, alcance y
contenido.
Seguridad
Art. 54
Aplicables a los
Art. 55
Datos Personales.
de
la
seguridad.
Los participantes deben adoptar
un enfoque exhaustivo para la
gestión de la seguridad.
Cotidiano de
sido prevista en cláusulas contractuales, el
Medidas de
encargado deberá obtener la autorización
del
Gestión
Cumplimiento
En caso de que la subcontratación no haya
correspondiente
8.
Seguridad.
responsable
previamente.
La
obligación
de
acreditar
que
la
subcontratación se realizó con autorización
del responsable corresponderá al encargado.
CÓMPUTO EN LA NUBE
50
Para el tratamiento de datos personales en
Paso 7.
servicios, aplicaciones e infraestructura en el
Implementación de
denominado cómputo en la nube, en los que
las Medidas de
el responsable se adhiera a los mismos
Art. 52 - I
Seguridad
mediante condiciones o cláusulas generales
Aplicables a los
de contratación, sólo podrá utilizar aquellos
Datos Personales.
Los participantes deben respetar
4. Ética.
7.
los intereses legítimos de otros.
Diseño
e
implementación de la
seguridad.
Los participantes deben incorporar
la seguridad con un elemento
esencial
de
los
sistemas
información y las redes
445
de
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
servicios en los que el proveedor cumpla, al
Cumplimiento
menos, con lo siguiente:
Cotidiano de
Identificador y
nombre
Descripción
Objetivo de Control
Medidas de
a) Tener y aplicar políticas de protección de
Seguridad.
datos personales afines a los principios y
deberes aplicables que establece la Ley y su
Reglamento;
b) Transparentar las subcontrataciones que
involucren la información sobre la que se
Los participantes deben adoptar
8. Gestión de la
presta el servicio;
un enfoque exhaustivo para la
seguridad.
gestión de la seguridad.
c) Abstenerse de incluir condiciones en la
prestación del servicio que le autoricen o
permitan asumir la titularidad o propiedad de
la información sobre la que presta el servicio,
y
d) Guardar confidencialidad respecto de los
datos personales sobre los que se preste el
servicio.
51
Para el tratamiento de datos personales en
Paso 7.
servicios, aplicaciones e infraestructura en el
Implementación de
denominado cómputo en la nube, en los que
el responsable se adhiera a los mismos
Art. 52 - II
las Medidas de
Seguridad
mediante condiciones o cláusulas generales
Aplicables a los
de contratación, sólo podrá utilizar aquellos
Datos Personales.
Los participantes deben respetar
4. Ética.
7.
los intereses legítimos de otros.
Diseño
e
implementación de la
seguridad.
Los participantes deben incorporar
la seguridad con un elemento
esencial
de
los
sistemas
información y las redes
446
de
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
servicios en los que el proveedor cuente con
Cumplimiento
mecanismos, al menos, para:
Cotidiano de
Identificador y
nombre
Descripción
Objetivo de Control
Medidas de
a) Dar a conocer cambios en sus políticas de
Seguridad.
privacidad o condiciones del servicio que
presta;
b) Permitir al responsable limitar el tipo de
tratamiento de los datos personales sobre los
que se presta el servicio;
c)
Establecer
y
mantener
medidas
de
seguridad adecuadas para la protección de
8. Gestión de la
los datos personales sobre los que se preste
seguridad.
el servicio;
Los participantes deben adoptar
un enfoque exhaustivo para la
gestión de la seguridad.
d) Garantizar la supresión de los datos
personales una vez que haya concluido el
servicio prestado al responsable, y que este
último haya podido recuperarlos, y
e) Impedir el acceso a los datos personales a
personas que no cuenten con privilegios de
acceso, o bien en caso de que sea a solicitud
fundada
y
competente,
motivada
informar
de
de
autoridad
ese
hecho
al
responsable.
TRANSFERENCIAS
447
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Cuando el responsable pretenda transferir los
datos personales a terceros nacionales o
extranjeros, distintos del encargado, deberá
Paso 7.
comunicar a éstos el aviso de privacidad y las
Implementación de
finalidades a las que el titular sujetó su
las Medidas de
tratamiento.
52
Art. 68
El tratamiento de los datos se hará conforme
a lo convenido en el aviso de privacidad, el
cual contendrá una cláusula en la que se
indique
si
el
o
no
Aplicables a los
Art. 72
Datos Personales.
Art. 74
Cumplimiento
Cotidiano de
transferencia de sus datos, de igual manera,
Medidas de
el tercero receptor, asumirá las mismas
Seguridad.
que
acepta
Art. 71
la
obligaciones
titular
Art. 36
Seguridad
correspondan
4. Ética.
Los participantes deben respetar
los intereses legítimos de otros.
al
responsable que transfirió los datos.
Paso 7.
Para
efectos
transferencia,
de
demostrar
sea
ésta
que
la
nacional
o
Implementación de
las Medidas de
internacional, se realiza conforme a lo que
53
establece la Ley y su Reglamento, la carga de
La seguridad de los sistemas de
Seguridad
Art. 69
la prueba recaerá, en todos los casos, en el
Aplicables a los
Datos Personales.
información y las redes deben ser
5. Democracia.
de
los
una
valores
sociedad
democrática.
Cotidiano de
de los datos personales.
con
esenciales
Cumplimiento
responsable que transfiere y en el receptor
compatibles
Medidas de
Seguridad.
En
54
el
caso
de
transferencias
de
datos
personales entre sociedades controladoras,
subsidiarias o afiliadas bajo el control común
del mismo grupo del responsable, o a una
Los
Art. 70
1. Recomendación
General
1. Concientización.
participantes
deben
estar
conscientes de la necesidad por la
seguridad
de
los
sistemas
de
información y las redes y lo que
448
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
sociedad matriz o a cualquier sociedad del
ellos pueden hacer para mejorar la
mismo grupo del responsable, el mecanismo
seguridad.
para garantizar que el receptor de los datos
Todos
personales cumplirá con las disposiciones
responsables de la seguridad de
previstas en la Ley, su Reglamento y demás
2. Responsabilidad.
los
participantes
son
los sistemas de información y las
normativa aplicable, podrá ser la existencia
redes.
de normas internas de protección de datos
Los participantes deben actuar en
personales cuya observancia sea vinculante,
una
siempre y cuando éstas cumplan con lo
establecido en la Ley, su
3. Respuesta.
manera
cooperativa
Reglamento y
detectar,
demás normativa aplicable.
y
oportuna
para
y
prevenir,
responder
a
los
incidentes de seguridad.
Los participantes deben respetar
4. Ética.
los intereses legítimos de otros.
La seguridad de los sistemas de
información y las redes deben ser
5. Democracia.
compatibles
esenciales
con
de
los
una
valores
sociedad
democrática.
6.
Evaluación
del
riesgo.
7.
evaluaciones del riesgo.
Diseño
e
implementación de la
seguridad.
8.
Los participantes deben ejecutar
Gestión
Los participantes deben incorporar
la seguridad con un elemento
esencial
de
los
sistemas
de
información y las redes.
de
seguridad.
9. Reevaluación.
la
Los participantes deben adoptar
un enfoque exhaustivo para la
gestión de la seguridad.
Los participantes deben revisar y
449
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
reevaluar
la
seguridad
de
los
sistemas de información y las
redes,
y
hacer
apropiadas
a
prácticas,
modificaciones
las
políticas,
medidas,
y
procedimientos de seguridad.
Paso 7.
Implementación de
La
transferencia
deberá
formalizarse
las Medidas de
mediante algún mecanismo que permita
55
demostrar que el responsable transferente
Art. 73
Aplicables a los
comunicó
Art. 75
Datos Personales.
al
responsable
receptor
las
La seguridad de los sistemas de
Seguridad
condiciones en las que el titular consintió el
Cumplimiento
tratamiento de sus datos personales.
Cotidiano de
información y las redes deben ser
5. Democracia.
compatibles
esenciales
con
de
los
una
valores
sociedad
democrática.
Medidas de
Seguridad.
450
4.16 Generally Accepted Privacy Principles (GAPP) from American Institute of CPAs.
Introducción. Este documento desarrollado desde una perspectiva de negocio. El documento está desarrollado con
base en 10 principios de privacidad, tomando como referencia la mayoría de las regulaciones locales, nacionales e
internacionales. Cada uno de los principios es soportado por un objetivo medible.
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
RESPONSABLE
Actividades para la definición de
documentación,
1 Gestión.
asignación
de
de
acuerdo
a
comunicados
y
responsabilidades
las
políticas
y
procedimientos.
Proveer aviso sobre políticas y
procedimientos de privacidad e
Los responsables en el tratamiento de datos
2 Aviso.
personales, deberán observar los principios
1
de
licitud,
consentimiento,
información,
calidad, finalidad, lealtad, proporcionalidad y
responsabilidad, previstos en la Ley.
Art. 6
Art. 9
identificar los propósitos de la
recopilación
1. Recomendación
de
información
personal.
General.
Describir las opciones sobre el
3
Opción
y
Consentimiento.
consentimiento
recopilación
respecto
de
a
la
información
personal.
4 Recolección.
Recopilar información solo para
los propósitos definidos.
5 Uso, retención, y
Establecimiento
eliminación.
lineamientos para limitar el uso,
de
los
451
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
retención
y
eliminación
de
información personal.
Proveer al titular acceso para la
6 Acceso.
revisión y actualización de sus
datos.
7
Divulgación
a
terceros.
8
Delimita
la
transmisión
de
información a terceros solo para
los propósitos establecidos.
Seguridad
para
Privacidad.
Actividades para la protección de
datos personales contra accesos
no autorizados.
La
9 Calidad.
entidad
mantiene
la
información completa, actualizada
y actual.
10
Monitoreo
y
cumplimiento.
Actividades
para
asegurar
el
cumplimiento de las políticas de
privacidad.
LICITUD Y LEALTAD
Los datos personales deberán recabarse y
4.1.0
tratarse de manera lícita, privilegiando la
2
razonable
de
privacidad,
sin
importar la fuente de la que se obtienen los
datos.
de
Privacidad.
protección de los intereses del titular y la
expectativa
Política
Art. 7
Art. 7
Art. 10
Art. 44
Paso 1. Alcance y
Objetivos.
individuos.
Tipos
privacidad
de
a
la
políticas
de
colección
de
información personal.
4.1.1 Comunicación a
4.1.2
Alineación
Comunicación a los titulares sobre
los propósitos de la colección de
información.
de
La obtención de datos personales no debe
información personal
hacerse a través de medios engañosos o
recopilada y métodos
fraudulentos.
de recopilación.
Métodos para la recolección de
información y tipos de información
de acuerdo al aviso de privacidad.
452
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
4.2.1
Recolección
La información recopilada es solo
limitada a propósitos
para los propósitos especificados
identificados.
en el aviso.
4.2.2 Recolección por
Métodos para la recolección de
medios
información
justos
y
legales.
4.2.3
Recolección
mediante terceros.
4.2.4
revisados
por
la
La dirección confirma que
los
dirección.
de
donde
recopila
información son seguros y legales.
Información
desarrollada
terceros
sobre
individuos.
Procedimientos por el cual se
informa al titular si se adquiere
información personal.
CONSENTIMIENTO
3.1.0
El tratamiento de datos personales estará
Política
de
Privacidad.
sujeto al consentimiento de su titular, salvo
las excepciones previstas por la Ley.
3
datos
financieros
o
3.1.1 Comunicación a
patrimoniales
requerirán consentimiento expreso de su
titular.
Art. 11
Art. 8
Art. 12
Art. 15
Personales.
Cuando los datos personales se obtengan
Consecuencias
4
personal,
de
sobre
las
negar
a
información
negar
o
retirar
el
consentimiento.
tratamiento.
implícito o explícito.
medios sencillos y gratuitos para manifestar
titular
consecuencias
consentimiento.
3.2.1 Consentimiento
facilitar al titular
al
proporcionar
titular, el consentimiento deberá ser previo al
deberá
de
opciones para la recopilación de
de negar o retirar el
personalmente o de manera directa de su
El responsable
política
Comunicación al titular sobre las
Informar
3.1.2
la
información.
Paso 2. Política de
Gestión de Datos
de
privacidad.
individuos.
Los
Definición
Art. 8
Art. 16
Paso 2. Política de
3.1.0
Política
Gestión de Datos
Privacidad.
de
Obtención del consentimiento en
el
momento
o
antes
de
la
recopilación de datos personales.
Definición
de
la
política
privacidad.
453
de
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
su consentimiento expreso.
Personales.
Identificador y
nombre
Descripción
Objetivo de Control
3.1.1 Comunicación a
individuos.
Comunicación al titular sobre las
opciones para la recopilación de
información.
Informar
3.1.2
Consecuencias
al
titular
consecuencias
de negar o retirar el
proporcionar
consentimiento.
personal,
de
sobre
las
negar
a
información
negar
o
retirar
el
consentimiento.
Tratándose de datos personales sensibles, el
responsable
deberá
obtener
el
consentimiento expreso y por escrito del
titular
5
para
su
tratamiento.
No podrán crearse bases de datos que
Art. 9
Art. 56
contengan datos personales sensibles, sin
3.2.3 Consentimiento
Obtención
explícito
explícito siempre que se recopile
para
finalidades
legítimas,
concretas
información sensible.
4.2.1
Recolección
La información recopilada es solo
Paso 2. Política de
limitada a propósitos
para los propósitos especificados
Gestión de Datos
identificados.
en el aviso.
Personales.
Indica que la información personal
5.2.1
y
Uso
de
información personal.
acordes con las actividades o fines explícitos
que persigue el sujeto regulado.
Implementación de
Para efectos de demostrar la obtención del
consentimiento,
recaerá,
en
responsable.
la
todos
carga
los
de
es
utilizada
solo
para
los
propósitos establecidos después
de
la
obtención
del
consentimiento del titular.
Paso 7.
6
consentimiento
información sensible.
que se justifique la creación de las mismas
para
de
la
casos,
prueba
en
el
las Medidas de
Art. 20
Seguridad
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
3.1.0
Política
de
Privacidad.
3.1.1 Comunicación a
individuos.
3.2.1 Consentimiento
implícito o explícito.
Definición
de
la
política
de
privacidad.
Comunicación al titular sobre las
opciones para la recopilación de
información.
Obtención del consentimiento en
el
momento
o
antes
de
recopilación de datos personales.
454
la
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Medidas de
Seguridad.
INFORMACIÓN
A
través
del
aviso
de
privacidad,
2.1.0
el
a los titulares, los datos que recaba, las
la
relación
jurídica,
así
como
de
individuos.
las
Art. 14
parte de un proceso de toma de decisiones
Art. 23
persona
física,
el
responsable
Art. 15
Art. 112
deberá
Paso 2. Política de
Gestión de Datos
2.2.1
Provisión
de
aviso.
políticas
y
procedimientos
de
privacidad antes de la recopilación
de datos.
Personales.
informar al titular que esta situación ocurre.
Dentro del aviso se incluye cuáles
2.2.2
Entidades
y
actividades cubiertas.
Si obtiene los datos de manera automática,
son los procesos y actividades
cubiertas por dichas políticas y
procedimientos.
deberá informar al titular sobre el uso de
4.2.1
Recolección
La información recopilada es solo
estas tecnologías y la forma en que podrá
limitada a propósitos
para los propósitos especificados
deshabilitarlas.
identificados.
en el aviso.
Paso 7.
Cuando los datos personales sean obtenidos
directamente
8
uso, retención y eliminación de su
Se comunica al titular sobre las
Cuando se traten datos personales como
sin que intervenga la valoración de una
Comunicación al titular sobre el
información personal.
características principales de su tratamiento.
7
Criterios para el establecimiento
de la política de privacidad.
2.1.1 Comunicación a
finalidades necesarias y las que no lo son
para
Política
Privacidad.
responsable tendrá la obligación de informar
del
titular,
el
aviso
de
privacidad debe ponerse a disposición de los
Art. 3, I
titulares a través de formatos impresos,
Art. 17
digitales, visuales, sonoros o cualquier otra
tecnología.
Art. 27
Se comunica al titular sobre las
Implementación de
2.2.1
las Medidas de
aviso.
Provisión
de
Seguridad
políticas
y
procedimientos
de
privacidad antes de la recopilación
de datos.
Aplicables a los
Datos Personales.
Cumplimiento
2.2.3 Claro y conciso.
El aviso de privacidad debe ser
visible y con lenguaje claro.
Cotidiano de
455
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Medidas de
Seguridad.
2.1.0
Paso 7.
El aviso de privacidad
debe contener un
mecanismo,
el
para
que
titular
Implementación de
las Medidas de
pueda
manifestar su negativa al tratamiento de sus
9
datos
personales.
Cuando
los
datos
se
obtengan de manera indirecta del titular, el
Art. 14
Art. 18
Art. 29
Art. 32
responsable deberá darle a conocer el aviso
Seguridad
aviso.
las Medidas de
Para efectos de demostrar la puesta a
10
privacidad
carga de la prueba recaerá, en todos los
casos, en el responsable.
uso, retención y eliminación de su
información personal.
Provisión
de
políticas
y
procedimientos
de
privacidad antes de la recopilación
de datos.
4.2.3
Recolección
mediante terceros.
2.1.0
Política
La dirección confirma que
terceros
de
donde
los
recopila
información son seguros y legales.
de
Privacidad.
Criterios para el establecimiento
de la política de privacidad.
Seguridad
en
cumplimiento del principio de información, la
Comunicación al titular sobre el
Se comunica al titular sobre las
2.2.1
Paso 7.
de
individuos.
Cumplimiento
Implementación de
aviso
2.1.1 Comunicación a
Datos Personales.
Medidas de
Criterios para el establecimiento
de la política de privacidad.
Aplicables a los
Seguridad
del
de
Cotidiano de
de privacidad y sus cambios.
disposición
Política
Privacidad.
Art. 31
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
Se comunica al titular sobre las
2.2.1
aviso.
Provisión
de
políticas
y
procedimientos
de
privacidad antes de la recopilación
de datos.
Seguridad.
CALIDAD
456
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
4.2.1
El responsable procurará que los datos
personales contenidos en las bases de datos
11
sean
exactos,
completos,
pertinentes,
correctos y actualizados según se requiera
Paso 2. Política de
Art. 11
Art. 36
Gestión de Datos
Personales.
para el cumplimiento de la finalidad para la
para los propósitos especificados
identificados.
en el aviso.
9.2.1
Exactitud
Relevancia
5.1.0
dejado
Privacidad.
de
ser
necesarios
para
el
Art. 3 III
El responsable de la base de datos estará
Art. 11
Art. 37
Uso
información personal.
Retención
5.2.3
plazo de setenta y dos meses, contado a
destrucción,
partir de la fecha calendario en que se
de
presente el mencionado incumplimiento.
personal.
5.2.1
El responsable establecerá y documentará
caso, bloqueo y supresión de los datos
de
de
información personal.
contractuales, una vez que transcurra un
Paso 2. Política de
Art. 38
Gestión de Datos
Personales.
La información personal debe ser
relevante
a
los
propósitos
establecidos
Criterios para el establecimiento
Comunicación al titular sobre el
uso, retención y eliminación de su
La información personal recopilada
solo puede ser utilizada para los
propósitos definidos.
Actividades
para
no
retener
información más de lo necesario.
Disposición,
borrado
información
Uso
de
información personal.
5.2.2
ser exacta y completa.
información personal.
Gestión de Datos
5.2.2
La información recopilada debe
de la política de privacidad.
5.2.1
obligaciones
procedimientos para la conservación y, en su
de
Paso 2. Política de
Personales.
obligado a eliminar la información relativa al
de
Política
individuos.
previo bloqueo de los mismos.
personales.
de
5.1.1 Comunicación a
legales aplicables, deberán ser cancelados,
incumplimiento
de
información personal.
Cuando los datos de carácter personal hayan
el aviso de privacidad y las disposiciones
13
La información recopilada es solo
información personal.
cumplimiento de las finalidades previstas por
12
Recolección
limitada a propósitos
9.2.2
cual son tratados.
Descripción
Objetivo de Control
Retención
de
Procedimientos para la eliminación
segura de información personal.
La información personal recopilada
solo puede ser utilizada para los
propósitos definidos.
Actividades
para
no
retener
información personal.
información más de lo necesario.
5.2.3
Procedimientos para la eliminación
Disposición,
457
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
destrucción,
de
borrado
segura de información personal.
información
personal.
Paso 7.
Implementación de
las Medidas de
Retención
de
información personal.
Actividades
para
no
retener
información más de lo necesario.
Seguridad
Al responsable le corresponde demostrar que
14
5.2.2
los datos personales se conservan, o en su
Art. 39
caso, bloquean, suprimen o cancelan.
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
5.2.3
Disposición,
destrucción,
de
borrado
información
Procedimientos para la eliminación
segura de información personal.
personal.
Seguridad.
FINALIDAD
El tratamiento de datos personales deberá
2.1.0
Política
limitarse al cumplimiento de las finalidades
Privacidad.
de
de la política de privacidad.
previstas en el aviso de privacidad.
Si el responsable pretende tratar los datos
2.1.1 Comunicación a
para un fin distinto al establecido, deberá
individuos.
obtener nuevamente el consentimiento del
15
titular.
El titular podrá oponerse o revocar su
Art. 12
Art. 40
Paso 2. Política de
Art. 42
Gestión de Datos
Art. 43
Personales.
sin que ello tenga como consecuencia la
conclusión del tratamiento.
Comunicación al titular sobre el
uso, retención y eliminación de su
información personal.
Se comunica al titular sobre las
2.2.1
Provisión
de
aviso.
políticas
y
procedimientos
de
privacidad antes de la recopilación
de datos.
consentimiento para las finalidades distintas
a las que dieron origen a la relación jurídica,
Criterios para el establecimiento
Dentro del aviso se incluye cuáles
2.2.2
Entidades
actividades cubiertas.
y
son los procesos y actividades
cubiertas por dichas políticas y
procedimientos.
458
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
4.2.1
Recolección
La información recopilada es solo
limitada a propósitos
para los propósitos especificados
identificados.
en el aviso.
PROPORCIONALIDAD
2.1.0
Política
de
Privacidad.
individuos.
que resulte necesario, adecuado y relevante
en relación con las finalidades previstas en el
16
aviso de privacidad. En particular para datos
de la política de privacidad.
2.1.1 Comunicación a
El tratamiento de datos personales será el
Art. 13
personales sensibles, el responsable deberá
Art. 45
Art. 46
Criterios para el establecimiento
Comunicación al titular sobre el
uso, retención y eliminación de su
información personal.
Paso 2. Política de
Se comunica al titular sobre las
Gestión de Datos
2.2.1
Personales.
aviso.
Provisión
de
políticas
y
procedimientos
de
privacidad antes de la recopilación
limitar el periodo de tratamiento al mínimo
de datos.
indispensable.
Dentro del aviso se incluye cuáles
2.2.2
Entidades
y
actividades cubiertas.
son los procesos y actividades
cubiertas por dichas políticas y
procedimientos.
CONFIDENCIALIDAD
1.2.5 Consistencia de
compromisos
El responsable o terceros que intervengan en
políticas
cualquier fase del tratamiento de datos
17
personales deberán guardar confidencialidad
respecto de éstos, obligación que subsistirá
aun después de finalizar sus relaciones con el
titular o, en su caso, con el responsable.
Art. 21
Art. 9
Paso 2. Política de
procedimientos
Gestión de Datos
privacidad.
con
Los contratos deben ser concisos
y
con las políticas y procedimientos
de
Personales.
de privacidad.
Información
7.2.2
Protección
de
información personal.
personal
divulgada
solo si hay acuerdos y conforme a
las
políticas
de
privacidad
establecidas.
459
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
RESPONSABILIDAD
El responsable tiene la obligación de velar y
responder por el tratamiento de los datos
personales en su posesión, debiendo adoptar
las medidas necesarias.
Paso 2. Política de
18
El responsable deberá tomar las medidas
Art. 14
Art. 47
necesarias y suficientes para garantizar que el
Gestión de Datos
Personales.
Dentro del aviso se incluye cuáles
2.2.2
Entidades
y
actividades cubiertas.
son los procesos y actividades
cubiertas por dichas políticas y
procedimientos.
aviso de privacidad dado a conocer al titular,
sea respetado en todo momento por él o
por terceros con los que guarde alguna
relación jurídica.
1.2.4
Los responsables deberán adoptar medidas
19
para
garantizar
el
debido
tratamiento,
privilegiando los intereses del titular y la
Paso 5. Realizar el
Art. 14
Art. 48
expectativa razonable de privacidad.
Evaluación
de
riesgo.
Personales.
8.2.1
Programa
Seguridad
de
de
la
Políticas
de
Información.
1.1.0
Elaborar políticas y programas de privacidad
20
obligatorios y exigibles al interior de la
Paso 2. Política de
Art. 48 - I
organización.
Gestión de Datos
Personales.
riesgos relacionados a información
personal.
Análisis de Riesgo
de los Datos
Metodología para la evaluación de
Privacidad.
Documentación y formalización de
un programa de seguridad de la
información.
Criterios para el establecimiento
de la política de privacidad.
Las políticas y procedimientos de
1.2.1
Revisión
y
aprobación.
privacidad deben ser revisados y
aprobados por la administración
de manera periódica.
Poner
21
en
práctica
un
programa
de
capacitación, actualización, y concientización
del
personal
sobre
las
obligaciones
en
Paso 9. Mejora
Art. 48 - II
Continua y
Capacitación.
1.1.1 Comunicación a
personal interno.
Políticas, procedimientos
Sanciones
relacionadas
a
privacidad deben ser comunicadas
460
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
materia de protección de datos personales.
Identificador y
nombre
Descripción
Objetivo de Control
Capacitación.
al personal interno.
1.1.2 Responsabilidad
Asignación
y
de
responsabilidades sobre privacidad
las
deben
rendición
cuentas
de
Políticas.
de
ser
roles
y
establecidas
y
comunicadas.
1.2.9 Calificaciones de
personal interno.
Características
personal
apropiadas
del
responsable
de
privacidad.
1.2.10 Entrenamiento
y concientización de
privacidad.
Se
debe
proporcionar
entrenamiento sobre privacidad al
personal
con
funciones
relacionadas relevantes.
Las políticas y procedimientos de
1.2.1
Establecer
22
un
sistema
de
supervisión
vigilancia interna, verificaciones o auditorías
externas para comprobar el cumplimiento de
Revisión
Art. 48 - III
Auditoría.
de manera periódica.
1.2.2 Consistencia de
Políticas
y
políticas
revisados
para
y
procedimientos
Paso 3. Establecer
Destinar recursos para la instrumentación de
los programas y políticas de privacidad.
Funciones y
Art. 48 - IV
con
Datos Personales.
consistentes
procedimientos
que
con
sean
leyes
y
leyes y regulaciones.
regulaciones vigentes.
1.1.0
Criterios para el establecimiento
Políticas
de
Privacidad.
de la política de seguridad.
Obligaciones de
Quienes Traten
privacidad deben ser revisados y
aprobados por la administración
Paso 8. Revisiones y
las políticas de privacidad.
23
y
aprobación.
y
1.2.8
Recursos
soporte.
de
Recursos
suficientes
para
la
implementación de las políticas de
privacidad.
461
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
1.2.4
Instrumentar un procedimiento para que se
Paso 5. Realizar el
atienda el riesgo para la protección de datos
24
personales por la implementación de nuevos
Art. 48 - V
productos, servicios, tecnologías y modelos
Evaluación
de
riesgo.
de los Datos
Metodología para la evaluación de
riesgos relacionados a información
personal.
Análisis de Riesgo
Personales.
de negocios, así como para mitigarlos.
Descripción
Objetivo de Control
Procesos para la administración y
1.2.6
Gestión
de
infraestructura
y
sistemas.
control de la infraestructura que
soporta
el
almacenamiento
procesamiento
de
y
información
personal.
Las políticas y procedimientos de
1.2.1
Revisión
y
aprobación.
privacidad deben ser revisados y
aprobados por la administración
de manera periódica.
Revisar
25
periódicamente
las
políticas
y
programas de seguridad para determinar las
Art. 48 - VI
modificaciones que se requieran.
Paso 8. Revisiones y
Auditoría.
1.2.2 Consistencia de
Políticas
y
políticas
revisados
para
y
procedimientos
con
leyes y regulaciones.
1.2.11
Cambios
en
requerimientos
regulatorios
26
para
recibir
y
responder dudas y quejas de los titulares de
los datos personales.
Paso 7.
Art. 48 - VII
Implementación de
las Medidas de
leyes
y
regulaciones vigentes.
Procedimiento para el monitoreo
de
cambios
en
leyes
y
Pruebas
de
Procedimientos de prueba para la
de
eficacia
Seguridad.
procedimientos
con
sean
de
Salvaguardas
Establecer
que
y
negocio.
8.2.7
consistentes
procedimientos
10.2.1
atención
regulaciones.
de
los
controles
establecidos.
Proceso
de
de
dudas,
quejas y disputas.
Procedimiento para la atención de
quejas y disputas.
462
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Seguridad
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
10.2.2 Resolución de
Base de conocimiento sobre la
disputas.
resolución de quejas y disputas.
Medidas de
Seguridad.
Políticas, procedimientos
Disponer
27
de
mecanismos
para
el
cumplimiento de las políticas y programas de
privacidad, así como de sanciones por su
Paso 3. Funciones y
Art. 48 - VIII
incumplimiento.
1.1.1 Comunicación a
Sanciones
personal interno.
privacidad deben ser comunicadas
Datos Personales.
1.1.2 Responsabilidad
Asignación
y
de
responsabilidades sobre privacidad
las
deben
rendición
cuentas
de
Políticas.
8.2.1
los datos personales, es decir, un conjunto
28
de acciones técnicas y administrativas que
permitan garantizar al responsable el
cumplimiento de los principios y obligaciones
que establece la Ley y su Reglamento.
Identificación de las
Art. 48 - IX
medidas de
seguridad y Análisis
de Brecha.
8.2.2
de
un programa de seguridad de la
Controles
información.
de
Controles
Procedimientos para la restricción
de acceso lógico a información
personal.
de
Salvaguardas
Ambientales.
8.2.5
y
la
Acceso Físico.
8.2.4
establecidas
y
Documentación y formalización de
Acceso Lógico.
8.2.3
ser
roles
de
Información.
Paso 6.
de
comunicadas.
Programa
Seguridad
Establecer medidas para el aseguramiento de
a
al personal interno.
Obligaciones de
Quienes Traten
relacionadas
Información
Procedimientos para la restricción
de acceso físico a información
personal.
Establecimiento
de
controles
ambientales para la protección de
información personal.
Controles
para
la
transmisión
463
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
personal transmitida.
segura de datos personales.
8.2.6
Información
Controles para la restricción de
personal en medios
acceso a la información personal
móviles.
en medios móviles.
8.2.7
Pruebas
Salvaguardas
de
Procedimientos de prueba para la
de
eficacia
Seguridad.
8.2.2
Controles
de
Acceso Lógico.
Establecer medidas para la trazabilidad de los
Paso 6.
datos personales, es decir acciones, medidas
29
y procedimientos técnicos que
Identificación de las
permiten
Art. 48 - X
rastrear a los datos personales durante su
medidas de
seguridad y Análisis
tratamiento.
de Brecha.
8.2.3
Controles
los
controles
Procedimientos para la restricción
de acceso lógico a información
personal.
de
Acceso Físico.
8.2.5
de
establecidos.
Procedimientos para la restricción
de acceso físico a información
personal.
Información
Controles
para
la
transmisión
personal transmitida.
segura de datos personales.
8.2.6
Información
Controles para la restricción de
personal en medios
acceso a la información personal
móviles.
en medios móviles.
Paso 7.
Implementación de
Todo responsable deberá designar a una
persona,
personales,
30
o
departamento
quien
dará
de
trámite
las Medidas de
datos
a
de los derechos a que se refiere la Ley.
Asimismo fomentará la protección de datos
personales al interior de la organización.
Política
de
Privacidad.
Criterios para el establecimiento
de la política de privacidad.
Seguridad
las
solicitudes de los titulares, para el ejercicio
6.1.0
Art. 30
Aplicables a los
Datos Personales.
Cumplimiento
6.1.1 Comunicación a
Cotidiano de
individuos.
Medidas de
Comunicación al titular sobre el
uso, retención y eliminación de su
información personal.
Seguridad.
464
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
SEGURIDAD
8.2.1
Programa
Seguridad
Todo
responsable
tratamiento
de
que
datos
lleve
a
personales
cabo
administrativas,
Acceso Lógico.
proteger
los
y
físicas
datos
que
8.2.3
o el uso, acceso o tratamiento no autorizado.
adoptarán
medidas
de
un programa de seguridad de la
información.
Controles
de
seguridad
menores a aquellas que mantengan para el
Paso 6.
Art. 19
manejo de su información.
Art. 4
Identificación de las
Art. 9
medidas de
Art. 57
seguridad y Análisis
de Brecha.
Cuando el encargado se encuentre ubicado
Controles
de
Acceso Físico.
8.2.4
de acceso lógico a información
Procedimientos para la restricción
de acceso físico a información
personal.
Salvaguardas
Ambientales.
8.2.5
Procedimientos para la restricción
personal.
personales
contra daño, pérdida, alteración, destrucción
No
Documentación y formalización de
la
deberá
8.2.2
técnicas
de
Información.
establecer y mantener medidas de seguridad
permitan
31
de
Establecimiento
de
controles
ambientales para la protección de
información personal.
Información
Controles
para
la
transmisión
personal transmitida.
segura de datos personales.
disposiciones relativas a las medidas de
8.2.6
Información
Controles para la restricción de
seguridad contenidas en el Capítulo III de
personal en medios
acceso a la información personal
Reglamento.
móviles.
en medios móviles.
en territorio mexicano, le serán aplicables las
8.2.7
Pruebas
Salvaguardas
de
Procedimientos de prueba para la
de
eficacia
Seguridad.
El responsable determinará las medidas de
32
seguridad aplicables a los datos personales
que trate, considerando el riesgo existente,
Paso 5. Realizar el
Art. 19
Art. 60
Análisis de Riesgo
de los Datos
1.2.4
riesgo.
Evaluación
de
los
controles
establecidos.
de
Metodología para la evaluación de
riesgos relacionados a información
personal.
465
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
las posibles consecuencias para los titulares,
Identificador y
nombre
Descripción
Objetivo de Control
Personales.
la sensibilidad de los datos y el desarrollo
tecnológico.
De
manera
adicional,
el
responsable
procurará tomar en cuenta los siguientes
elementos:
I. El número de titulares;
1.2.11
II. Las vulnerabilidades previas ocurridas en
requerimientos
los sistemas de tratamiento;
regulatorios
III.
El
riesgo
por
el
valor
potencial
Cambios
y
en
de
negocio.
Procedimiento para el monitoreo
de
cambios
en
leyes
y
regulaciones.
cuantitativo o cualitativo que pudieran tener
los datos personales tratados para una
tercera
persona
no
autorizada
para
su
posesión, y
IV. Demás factores que puedan incidir en el
nivel de riesgo o que resulten de otras leyes
o regulación aplicable al responsable.
33
34
Elaborar un inventario de datos personales y
de los sistemas de tratamiento.
Determinar las funciones y obligaciones de
las personas que traten datos personales.
Art. 61 - I
Paso 4. Elaborar un
1.2.3 Identificación y
Inventario de Datos
clasificación
Personales.
información personal.
Paso 3. Establecer
1.2.9 Calificaciones de
Funciones y
Art. 61 - II
de
Obligaciones de
Quienes Traten
Datos Personales.
personal interno.
Inventario de información personal
y datos sensibles.
Características
personal
apropiadas
del
responsable
de
privacidad.
1.2.10 Entrenamiento
Se
y concientización de
entrenamiento sobre privacidad al
debe
proporcionar
privacidad.
personal
con
funciones
466
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
relacionadas relevantes.
35
Contar con un análisis de riesgos de datos
Paso 5. Realizar el
personales
Análisis de Riesgo
que
consiste
en
identificar
peligros y estimar los riesgos a los datos
Art. 61 - III
personales.
de los Datos
Personales.
1.2.4
Evaluación
de
riesgo.
8.2.1
Programa
de
de
Documentación y formalización de
la
un programa de seguridad de la
Información.
Paso 6.
Establecer
36
las
medidas
de
seguridad
aplicables a los datos personales e identificar
Identificación de las
Art. 61 - IV
aquéllas implementadas de manera efectiva.
medidas de
seguridad y Análisis
de Brecha.
información.
Evaluación
de
riesgo.
8.2.1
Programa
de
Documentación y formalización de
la
un programa de seguridad de la
Pruebas
de
Procedimientos de prueba para la
de
eficacia
Información.
información.
Seguridad.
37
Paso 6.
la diferencia de las medidas de seguridad
Identificación de las
existentes y aquéllas faltantes que resultan
necesarias para la protección de los datos
personales.
Art. 61 - V
medidas de
seguridad y Análisis
de Brecha.
1.2.4
de
los
controles
establecidos.
Metodología para la evaluación de
Evaluación
de
Programa
de
Documentación y formalización de
la
un programa de seguridad de la
riesgo.
8.2.1
riesgos relacionados a información
de
Salvaguardas
Realizar el análisis de brecha que consiste en
Metodología para la evaluación de
personal.
Seguridad
8.2.7
riesgos relacionados a información
personal.
Seguridad
1.2.4
Metodología para la evaluación de
riesgos relacionados a información
personal.
Seguridad
Información.
de
información.
467
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
Implementación de
las Medidas de
Seguridad
Elaborar
38
un
plan
de
trabajo
para
la
implementación de las medidas de seguridad
Aplicables a los
Art. 61 - VI
faltantes, derivadas del análisis de brecha.
Datos Personales.
Plan de Trabajo
8.2.1
Programa
Seguridad
de
de
Documentación y formalización de
la
un programa de seguridad de la
Información.
información.
para la
Implementación de
las Medidas de
Seguridad Faltantes.
8.2.7
Pruebas
Salvaguardas
de
Procedimientos de prueba para la
de
eficacia
Seguridad.
10.2.3
39
Llevar a cabo revisiones o auditorías.
Art. 61 - VII
Paso 8. Revisiones y
Auditoría.
Revisión
de
cumplimiento.
10.2.4
Instancias
de
Monitoreo
continuo.
Paso 9. Mejora
40
Capacitar
al
personal
que
tratamiento de datos personales.
efectúe
el
Art. 61 - VIII
Continua y
los
controles
El cumplimiento con las leyes y
regulaciones vigentes, contratos y
no cumplimiento.
10.2.5
de
establecidos.
1.2.9 Calificaciones de
personal interno.
El
incumplimiento
con
leyes
regulaciones o contratos deben
ser documentadas y corregidas.
Procedimientos para el monitoreo
periódico de la efectividad del
sistema
Características
personal
apropiadas
del
responsable
de
privacidad.
Capacitación.
1.2.10 Entrenamiento
Se
Capacitación.
y concientización de
entrenamiento sobre privacidad al
privacidad.
personal
debe
proporcionar
con
funciones
468
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
relacionadas relevantes.
Paso 5. Realizar el
41
Realizar un registro de
los medios de
almacenamiento de los datos personales.
Análisis de Riesgo
Art. 61 - IX
de los Datos
Personales.
8.2.6
Información
Controles para la restricción de
personal en medios
acceso a la información personal
móviles.
en medios móviles.
8.1.0
Políticas
de
Privacidad.
de la política de privacidad.
8.1.1 Comunicación a
individuos.
8.2.1
3. Acciones a
42
Contar con una relación de las medidas de
seguridad.
implementar para la
Art. 61
la
Controles
de
seguridad de los
Acceso Lógico.
datos personales
8.2.3
documentadas.
de
de
Información.
8.2.2
Controles
de
Acceso Físico.
8.2.4
Salvaguardas
Ambientales.
8.2.5
Información
personal transmitida.
8.2.6
Información
personal en medios
móviles.
43
Actualizar las medidas de seguridad cuando:
Art. 62
Paso 8. Revisiones y
Auditoría.
1.1.0
Políticas
Privacidad.
Comunicación a los titulares sobre
los propósitos de la colección de
información.
Programa
Seguridad
Criterios para el establecimiento
de
8.2.1 Programa de Seguridad de la
Información.
8.2.2 Controles de Acceso Lógico.
8.2.3 Controles de Acceso Físico.
8.2.4 Salvaguardas Ambientales.
8.2.5
Información
personal
transmitida.
8.2.6
Información
personal
en
medios móviles.
Criterios para el establecimiento
de la política de privacidad.
469
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
I. Se modifiquen las medidas o procesos de
Las políticas y procedimientos de
seguridad para su mejora continua, derivado
1.2.1
Revisión
de las revisiones a la política de seguridad
aprobación.
y
privacidad deben ser revisados y
aprobados por la administración
del responsable.
de manera periódica.
II. Se produzcan modificaciones sustanciales
1.2.2 Consistencia de
Políticas
y
en el tratamiento que deriven en un cambio
políticas
revisados
para
del nivel de riesgo.
procedimientos
III. Se vulneren los sistemas de tratamiento,
leyes y regulaciones.
de conformidad con lo dispuesto en el
1.2.4
artículo 20 de la Ley y 63 de su Reglamento.
IV.
Exista
una
afectación
a
los
y
Evaluación
con
que
con
sean
leyes
y
regulaciones vigentes.
de
riesgo.
datos
consistentes
procedimientos
Metodología para la evaluación de
riesgos relacionados a información
personal.
personales distinta a las anteriores.
Procesos para la administración y
En el caso de datos personales sensibles, los
1.2.6
responsables procurarán revisar y, en su caso,
infraestructura
actualizar las relaciones correspondientes una
sistemas.
Gestión
de
y
control de la infraestructura que
soporta
el
procesamiento
vez al año.
almacenamiento
de
y
información
personal.
1.2.11
Cambios
en
requerimientos
regulatorios
negocio.
y
de
Procedimiento para el monitoreo
de
cambios
en
leyes
regulaciones.
VULNERACIONES A LA SEGURIDAD
470
y
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Las vulneraciones de seguridad ocurridas en
cualquier fase del tratamiento que afecten de
Paso 8. Revisiones y
forma significativa los derechos patrimoniales
44
o morales de los titulares, serán informadas
de forma inmediata por el responsable al
Art. 20
Art. 63
Art. 64
titular, a fin de que este último pueda tomar
Auditoría.
Vulneraciones a la
Seguridad de la
1.2.7
Gestión
de
incidentes y brechas
de privacidad.
Proceso formal para la gestión de
brechas e incidentes de privacidad.
Información.
las medidas correspondientes a la defensa de
sus derechos.
En caso de que ocurra una vulneración a la
seguridad
de
los
datos
personales,
el
responsable deberá informar al titular al
menos lo siguiente:
Paso 8. Revisiones y
I. La naturaleza del incidente.
45
II. Los datos personales comprometidos.
III. Las recomendaciones al titular acerca de
Auditoría.
Art. 65
Vulneraciones a la
Seguridad de la
las medidas que éste pueda adoptar para
1.2.7
Gestión
de
incidentes y brechas
de privacidad.
Proceso formal para la gestión de
brechas e incidentes de privacidad.
Información.
proteger sus intereses.
IV. Las acciones correctivas realizadas de
forma inmediata.
V. Los medios donde puede obtener más
información al respecto.
En caso de que ocurra una vulneración a los
datos
46
personales,
el responsable
analizar las causas por las cuales se presentó
e
implementar
las
acciones
Paso 8. Revisiones y
deberá
correctivas,
preventivas y de mejora para adecuar las
medidas de seguridad correspondientes, a
Auditoría.
Art. 66
Vulneraciones a la
Seguridad de la
1.2.7
Gestión
de
incidentes y brechas
de privacidad.
Proceso formal para la gestión de
brechas e incidentes de privacidad.
Información.
471
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
efecto de evitar que la vulneración se repita.
ENCARGADO
El
encargado
tendrá
las
1.2.5 Consistencia de
siguientes
obligaciones respecto del tratamiento que
compromisos
realice por cuenta del responsable:
políticas
procedimientos
I. Tratar únicamente los datos personales
privacidad.
conforme a las instrucciones del responsable.
5.2.3
II. Abstenerse de tratar los datos personales
destrucción,
para finalidades distintas a las instruidas por
de
el responsable.
personal.
III. Implementar las medidas de seguridad
47
conforme a la Ley, su Reglamento y las
demás disposiciones aplicables.
IV. Guardar confidencialidad respecto de los
datos personales tratados.
V. Suprimir los datos personales objeto de
tratamiento una vez cumplida la relación
jurídica
con
el
responsable
o
por
Art. 50
1. Recomendación
General.
7.1.0
con
Los contratos deben ser concisos
y
con las políticas y procedimientos
de
de privacidad.
Disposición,
borrado
información
Políticas
de
Privacidad.
7.1.1 Comunicación a
individuos.
7.1.2 Comunicación a
terceros.
instrucciones del responsable, siempre y
Procedimientos para la eliminación
segura de información personal.
Criterios para el establecimiento
de la política de privacidad.
Comunicación a los titulares sobre
los propósitos de la colección de
información.
Comunicación sobre políticas de
privacidad a terceros que les sea
compartida información.
La
divulgación
de
información
cuando no exista una previsión legal que
7.2.1 Divulgación de
personal a terceros debe ser con
exija la conservación de los datos personales.
información personal.
base
VI.
Abstenerse
de
transferir
los
datos
en
los
propósitos
establecidos.
472
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
personales salvo en el caso de que el
responsable
así
lo
determine,
Información
la
7.2.2
comunicación derive de una subcontratación,
o
cuando
así
lo
requiera
la
Protección
de
información personal.
autoridad
personal
divulgada
solo si hay acuerdos y conforme a
las
políticas
de
privacidad
divulgar
información
establecidas.
competente.
7.2.3
Nuevos
propósitos y usos.
7.2.4
Mal
uso
Se
puede
para nuevos propósitos solo si se
tiene el consentimiento del titular.
de
Actividades
de
remediación
en
información personal
caso de mal uso de información
por terceros.
por parte de un tercero.
SUBCONTRATACIONES
Paso 7.
Implementación de
La
48
relación
entre
el
responsable
y
el
las Medidas de
encargado deberá estar establecida mediante
Seguridad
cláusulas contractuales u otro instrumento
Aplicables a los
jurídico que decida el responsable, que
Art. 51
1.2.5 Consistencia de
compromisos
políticas
procedimientos
con
Los contratos deben ser concisos
y
con las políticas y procedimientos
de
Datos Personales.
permita acreditar su existencia, alcance y
Cumplimiento
contenido.
Cotidiano de
Medidas de
Información
7.2.2
Protección
de
información personal.
Paso 7.
del encargado que implique el tratamiento
Implementación de
de datos personales deberá ser autorizada
49
por el responsable, y se realizará en nombre
y por cuenta de este último.
Una
vez
obtenida
la
autorización,
el
encargado deberá formalizar la relación con
Art. 54
Art. 55
las Medidas de
Seguridad
Aplicables a los
Datos Personales.
Cumplimiento
personal
divulgada
solo si hay acuerdos y conforme a
las
políticas
de
privacidad
establecidas.
Seguridad.
Toda subcontratación de servicios por parte
de privacidad.
privacidad.
1.2.5 Consistencia de
compromisos
políticas
procedimientos
con
Los contratos deben ser concisos
y
con las políticas y procedimientos
de
de privacidad.
de
Criterios para el establecimiento
privacidad.
7.1.0
Políticas
Privacidad.
de la política de privacidad.
473
N°
Requerimiento normativo
el
subcontratado
a
través
de
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
cláusulas
Cotidiano de
contractuales u otro instrumento jurídico que
Medidas de
permita acreditar su existencia, alcance y
Seguridad.
contenido.
Identificador y
nombre
Descripción
Objetivo de Control
7.1.1 Comunicación a
individuos.
terceros.
sido prevista en cláusulas contractuales, el
del
obligación
de
acreditar
que
privacidad a terceros que les sea
La
responsable
previamente.
La
Comunicación sobre políticas de
compartida información.
encargado deberá obtener la autorización
correspondiente
los propósitos de la colección de
información.
7.1.2 Comunicación a
En caso de que la subcontratación no haya
Comunicación a los titulares sobre
divulgación
de
información
7.2.1 Divulgación de
personal a terceros debe ser con
información personal.
base
la
en
los
propósitos
personal
divulgada
establecidos.
subcontratación se realizó con autorización
Información
del responsable corresponderá al encargado.
7.2.2
Protección
de
información personal.
solo si hay acuerdos y conforme a
las
políticas
de
privacidad
divulgar
información
establecidas.
7.2.3
Nuevos
propósitos y usos.
7.2.4
Mal
uso
Se
puede
para nuevos propósitos solo si se
tiene el consentimiento del titular.
de
Actividades
de
remediación
en
información personal
caso de mal uso de información
por terceros.
por parte de un tercero.
CÓMPUTO EN LA NUBE
50
Para el tratamiento de datos personales en
Paso 7.
servicios, aplicaciones e infraestructura en el
Implementación de
denominado cómputo en la nube, en los que
las Medidas de
el responsable se adhiera a los mismos
Art. 52 - I
Seguridad
mediante condiciones o cláusulas generales
Aplicables a los
de contratación, sólo podrá utilizar aquellos
Datos Personales.
servicios en los que el proveedor cumpla, al
Cumplimiento
1.1.0
Políticas
de
Privacidad.
Criterios para el establecimiento
de la política de seguridad.
1.2.5 Consistencia de
compromisos
políticas
procedimientos
con
Los contratos deben ser concisos
y
con las políticas y procedimientos
de
de privacidad.
privacidad.
474
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
menos, con lo siguiente:
a) Tener y aplicar políticas de protección de
Identificador y
nombre
Descripción
Objetivo de Control
Cotidiano de
7.1.0
Medidas de
Privacidad.
Políticas
de
de la política de privacidad.
Seguridad.
datos personales afines a los principios y
7.1.1 Comunicación a
deberes aplicables que establece la Ley y su
individuos.
7.1.2 Comunicación a
terceros.
involucren la información sobre la que se
Comunicación a los titulares sobre
los propósitos de la colección de
información.
Reglamento;
b) Transparentar las subcontrataciones que
Criterios para el establecimiento
Comunicación sobre políticas de
privacidad a terceros que les sea
compartida información.
La
presta el servicio;
c) Abstenerse de incluir condiciones en la
divulgación
de
información
7.2.1 Divulgación de
personal a terceros debe ser con
información personal.
base
en
los
propósitos
personal
divulgada
establecidos.
prestación del servicio que le autoricen o
Información
permitan asumir la titularidad o propiedad de
la información sobre la que presta el servicio,
7.2.2
Protección
de
y
información personal.
solo si hay acuerdos y conforme a
las
políticas
de
privacidad
divulgar
información
establecidas.
d) Guardar confidencialidad respecto de los
7.2.3
datos personales sobre los que se preste el
propósitos y usos.
servicio.
7.2.4
51
Para el tratamiento de datos personales en
Paso 7.
servicios, aplicaciones e infraestructura en el
Implementación de
denominado cómputo en la nube, en los que
Nuevos
Art. 52 - II
las Medidas de
el responsable se adhiera a los mismos
Seguridad
mediante condiciones o cláusulas generales
Aplicables a los
Mal
uso
Se
puede
para nuevos propósitos solo si se
tiene el consentimiento del titular.
de
Actividades
de
remediación
en
información personal
caso de mal uso de información
por terceros.
por parte de un tercero.
1.1.0
Políticas
de
Privacidad.
1.2.1
Revisión
aprobación.
Criterios para el establecimiento
de la política de seguridad.
y
Las políticas y procedimientos de
privacidad deben ser revisados y
aprobados por la administración
475
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
de contratación, sólo podrá utilizar aquellos
Datos Personales.
servicios en los que el proveedor cuente con
Cumplimiento
1.2.5 Consistencia de
mecanismos, al menos, para:
Cotidiano de
compromisos
Medidas de
políticas
Seguridad.
procedimientos
a) Dar a conocer cambios en sus políticas de
de manera periódica.
privacidad o condiciones del servicio que
privacidad.
presta;
4.2.1
con
Los contratos deben ser concisos
y
con las políticas y procedimientos
de
de privacidad.
Recolección
La información recopilada es solo
limitada a propósitos
para los propósitos especificados
b) Permitir al responsable limitar el tipo de
identificados.
en el aviso.
tratamiento de los datos personales sobre los
5.2.2
que se presta el servicio;
información personal.
información más de lo necesario.
7.1.0
Criterios para el establecimiento
c)
Establecer
y
mantener
medidas
de
seguridad adecuadas para la protección de
los datos personales sobre los que se preste
el servicio;
d) Garantizar la supresión de los datos
personales una vez que haya concluido el
Retención
Políticas
de
de
Privacidad.
7.1.1 Comunicación a
individuos.
7.1.2 Comunicación a
terceros.
y
competente,
responsable.
motivada
informar
de
de
autoridad
ese
hecho
al
retener
Comunicación a los titulares sobre
los propósitos de la colección de
Comunicación sobre políticas de
privacidad a terceros que les sea
compartida información.
La
divulgación
de
información
7.2.1 Divulgación de
personal a terceros debe ser con
información personal.
base
en
los
propósitos
personal
divulgada
establecidos.
personas que no cuenten con privilegios de
fundada
no
información.
e) Impedir el acceso a los datos personales a
acceso, o bien en caso de que sea a solicitud
para
de la política de privacidad.
servicio prestado al responsable, y que este
último haya podido recuperarlos, y
Actividades
Información
7.2.2
Protección
de
información personal.
solo si hay acuerdos y conforme a
las
políticas
de
privacidad
divulgar
información
establecidas.
7.2.3
Nuevos
Se
puede
476
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
propósitos y usos.
para nuevos propósitos solo si se
tiene el consentimiento del titular.
7.2.4
Mal
uso
de
Actividades
de
remediación
en
información personal
caso de mal uso de información
por terceros.
por parte de un tercero.
TRANSFERENCIAS
2.1.0
Política
de
Privacidad.
de la política de privacidad.
2.1.1 Comunicación a
individuos.
Cuando el responsable pretenda transferir los
Paso 7.
2.2.1
comunicar a éstos el aviso de privacidad y las
Implementación de
aviso.
finalidades a las que el titular sujetó su
las Medidas de
tratamiento.
Art. 68
Seguridad
El tratamiento de los datos se hará conforme
Art. 71
Aplicables a los
Art. 72
Datos Personales.
Art. 74
Cumplimiento
cual contendrá una cláusula en la que se
indique
si
titular
Cotidiano de
transferencia de sus datos, de igual manera,
Medidas de
el tercero receptor, asumirá las mismas
Seguridad.
que
acepta
o
no
Art. 36
la
obligaciones
el
correspondan
responsable que transfirió los datos.
al
uso, retención y eliminación de su
Se comunica al titular sobre las
extranjeros, distintos del encargado, deberá
a lo convenido en el aviso de privacidad, el
Comunicación al titular sobre el
información personal.
datos personales a terceros nacionales o
52
Criterios para el establecimiento
Provisión
de
políticas
y
procedimientos
de
privacidad antes de la recopilación
de datos.
Dentro del aviso se incluye cuáles
2.2.2
Entidades
y
actividades cubiertas.
son los procesos y actividades
cubiertas por dichas políticas y
procedimientos.
2.2.3 Claro y conciso.
7.1.0
Políticas
de
Privacidad.
7.1.1 Comunicación a
individuos.
El aviso de privacidad debe ser
visible y con lenguaje claro.
Criterios para el establecimiento
de la política de privacidad.
Comunicación a los titulares sobre
los propósitos de la colección de
información.
7.1.2 Comunicación a
Comunicación sobre políticas de
terceros.
privacidad a terceros que les sea
477
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
compartida información.
La
divulgación
de
información
7.2.1 Divulgación de
personal a terceros debe ser con
información personal.
base
en
los
propósitos
personal
divulgada
establecidos.
Información
7.2.2
Protección
de
información personal.
solo si hay acuerdos y conforme a
las
políticas
de
privacidad
divulgar
información
establecidas.
7.2.3
Nuevos
propósitos y usos.
7.2.4
Para
efectos
transferencia,
de
demostrar
sea
ésta
que
la
nacional
o
Implementación de
las Medidas de
establece la Ley y su Reglamento, la carga de
la prueba recaerá, en todos los casos, en el
responsable que transfiere y en el receptor
de los datos personales.
Art. 69
Aplicables a los
Datos Personales.
de
Medidas de
Seguridad.
Actividades
de
remediación
en
caso de mal uso de información
por terceros.
por parte de un tercero.
Políticas
de
Privacidad.
Criterios para el establecimiento
de la política de privacidad.
7.1.1 Comunicación a
individuos.
Comunicación a los titulares sobre
los propósitos de la colección de
información.
7.1.2 Comunicación a
terceros.
Comunicación sobre políticas de
privacidad a terceros que les sea
compartida información.
Cumplimiento
Cotidiano de
para nuevos propósitos solo si se
tiene el consentimiento del titular.
Seguridad
internacional, se realiza conforme a lo que
53
uso
puede
información personal
7.1.0
Paso 7.
Mal
Se
La
divulgación
de
información
7.2.1 Divulgación de
personal a terceros debe ser con
información personal.
base
en
los
propósitos
personal
divulgada
establecidos.
7.2.2
Protección
de
Información
478
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
información personal.
solo si hay acuerdos y conforme a
las
políticas
de
privacidad
divulgar
información
establecidas.
7.2.3
Nuevos
propósitos y usos.
7.2.4
Mal
uso
el
caso
de
transferencias
de
datos
de
de
para garantizar que el receptor de los datos
54
personales cumplirá con las disposiciones
previstas en la Ley, su Reglamento y demás
Art. 70
1. Recomendación
General
Criterios para el establecimiento
Comunicación a los titulares sobre
los propósitos de la colección de
información.
Comunicación sobre políticas de
privacidad a terceros que les sea
compartida información.
La
divulgación
información
personal a terceros debe ser con
información personal.
base
en
establecidos.
de normas internas de protección de datos
Información
personales cuya observancia sea vinculante,
7.2.2
siempre y cuando éstas cumplan con lo
información personal.
demás normativa aplicable.
de
7.2.1 Divulgación de
normativa aplicable, podrá ser la existencia
establecido en la Ley, su
en
de la política de privacidad.
terceros.
mismo grupo del responsable, el mecanismo
remediación
por parte de un tercero.
Políticas
7.1.2 Comunicación a
sociedad matriz o a cualquier sociedad del
de
por terceros.
individuos.
del mismo grupo del responsable, o a una
Actividades
caso de mal uso de información
7.1.1 Comunicación a
subsidiarias o afiliadas bajo el control común
para nuevos propósitos solo si se
tiene el consentimiento del titular.
Privacidad.
personales entre sociedades controladoras,
puede
información personal
7.1.0
En
Se
Protección
de
Reglamento y
los
propósitos
personal
divulgada
solo si hay acuerdos y conforme a
las
políticas
de
privacidad
divulgar
información
establecidas.
7.2.3
Nuevos
propósitos y usos.
Se
puede
para nuevos propósitos solo si se
tiene el consentimiento del titular.
479
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
7.2.4
Mal
uso
de
Políticas
de
transferencia
deberá
formalizarse
55
terceros.
Comunicación sobre políticas de
privacidad a terceros que les sea
compartida información.
La
divulgación
de
información
personal a terceros debe ser con
información personal.
base
Aplicables a los
Art. 75
Datos Personales.
las
7.1.2 Comunicación a
7.2.1 Divulgación de
Art. 73
receptor
los propósitos de la colección de
Seguridad
comunicó
responsable
Comunicación a los titulares sobre
información.
las Medidas de
demostrar que el responsable transferente
al
Criterios para el establecimiento
de la política de privacidad.
individuos.
mediante algún mecanismo que permita
en
por parte de un tercero.
7.1.1 Comunicación a
La
remediación
por terceros.
Privacidad.
Implementación de
de
caso de mal uso de información
7.1.0
Paso 7.
Actividades
información personal
en
los
propósitos
personal
divulgada
establecidos.
condiciones en las que el titular consintió el
Cumplimiento
tratamiento de sus datos personales.
Cotidiano de
7.2.2
Medidas de
información personal.
Información
Protección
de
Seguridad.
solo si hay acuerdos y conforme a
las
políticas
de
privacidad
divulgar
información
establecidas.
7.2.3
Nuevos
propósitos y usos.
7.2.4
Mal
uso
Se
puede
para nuevos propósitos solo si se
tiene el consentimiento del titular.
de
Actividades
de
remediación
en
información personal
caso de mal uso de información
por terceros.
por parte de un tercero.
480
4.17 Control Objectives for Information and Related Technology (COBIT v4.1).
Introducción. COBIT 4.1 es un marco de referencia para la implementación del gobierno y gestión de los recursos de TI en
las organizaciones. Su objetivo es proporcionar valor a la organización por medio de un coste óptimo de recursos, a la vez
que los riesgos son controlados.
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
RESPONSABLE
PO2
Definir
Arquitectura
de
la
la
Información.
PO8
Los responsables en el tratamiento de datos
de
licitud,
consentimiento,
información,
calidad, finalidad, lealtad, proporcionalidad y
Art. 6
Art. 9
1. Recomendación
General.
la
Administrar
cambios.
Definir y comunicar los requisitos
de calidad en todos los procesos
Instalar
y
acreditar soluciones y
cambios.
Garantizar
continuidad
Definición
de
procedimientos
políticas
para
y
la
administración de cambios.
responsabilidad, previstos en la Ley.
DS4
los procesos de negocio y los
de la organización.
AI6
AI7
de una arquitectura que incluya
diferentes componentes de TI.
Calidad.
personales, deberán observar los principios
1
Administrar
Conceptos para el establecimiento
Contar con sistemas nuevos o
modificados
problemas
que
trabajen
importantes
sin
después
de la instalación
la
del
Definición
de
políticas
y
procedimientos de gestión de la
481
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
servicio.
continuidad así como planes de
contingencia
DS5
Garantizar
seguridad
de
la
los
sistemas.
Establecer
políticas
y
procedimientos para la gestión de
la seguridad de la información.
DS11 Administrar los
datos.
Optimizar el uso de la información
y garantizar la disponibilidad de la
información cuando se requiera.
Proteger los activos de cómputo y
DS12 Administrar el
la
información
del
negocio
ambiente físico.
minimizando el riesgo de una
interrupción del servicio
DS13 Administrar las
operaciones.
Establecer
políticas
y
procedimientos para la entrega de
servicios de TI.
LICITUD Y LEALTAD
Los datos personales deberán recabarse y
tratarse de manera lícita, privilegiando la
protección de los intereses del titular y la
2
expectativa
razonable
de
privacidad,
sin
importar la fuente de la que se obtienen los
datos.
Definir e implementar las políticas
DS11.6
Art. 7
Art. 7
Art. 10
Art. 44
Paso 1. Alcance y
Objetivos.
Requerimientos
Seguridad
para
Administración
Datos.
de
la
de
y procedimientos para identificar y
aplicar
los
seguridad
requerimientos
aplicables
al
de
recibo,
procesamiento, almacén y salida
de los datos.
La obtención de datos personales no debe
482
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
hacerse a través de medios engañosos o
fraudulentos.
CONSENTIMIENTO
El tratamiento de datos personales estará
sujeto al consentimiento de su titular, salvo
las excepciones previstas por la Ley.
Los
3
datos
financieros
o
patrimoniales
requerirán consentimiento expreso de su
titular.
Cuando los datos personales se obtengan
Art. 11
Art. 8
Art. 12
Art. 15
Definir e implementar las políticas
DS11.6
Paso 2. Política de
Requerimientos
Gestión de Datos
Seguridad
Personales.
para
Administración
Datos.
de
la
de
y procedimientos para identificar y
aplicar
los
seguridad
requerimientos
aplicables
al
de
recibo,
procesamiento, almacén y salida
de los datos.
personalmente o de manera directa de su
titular, el consentimiento deberá ser previo al
tratamiento.
483
N°
Requerimiento normativo
El responsable
4
deberá
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
facilitar al titular
medios sencillos y gratuitos para manifestar
Identificador y
nombre
Descripción
Objetivo de Control
Paso 2. Política de
Art. 8
Art. 16
su consentimiento expreso.
Gestión de Datos
NO APLICA
NO APLICA
Personales.
Tratándose de datos personales sensibles, el
responsable
deberá
obtener
el
consentimiento expreso y por escrito del
titular
5
para
su
tratamiento.
No podrán crearse bases de datos que
Art. 9
Art. 56
contengan datos personales sensibles, sin
Paso 2. Política de
Requerimientos
Gestión de Datos
Seguridad
Personales.
que se justifique la creación de las mismas
para
finalidades
legítimas,
concretas
Definir e implementar las políticas
DS11.6
para
Administración
Datos.
y
de
la
de
y procedimientos para identificar y
aplicar
los
seguridad
requerimientos
aplicables
al
procesamiento, almacén y salida
de los datos.
acordes con las actividades o fines explícitos
que persigue el sujeto regulado.
Paso 7.
Implementación de
las Medidas de
Para efectos de demostrar la obtención del
6
consentimiento,
recaerá,
en
responsable.
la
todos
carga
los
de
la
casos,
prueba
en
el
Seguridad
Art. 20
Aplicables a los
NO APLICA
de
recibo,
NO APLICA
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
484
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Seguridad.
INFORMACIÓN
A
través
del
aviso
de
privacidad,
el
responsable tendrá la obligación de informar
a los titulares, los datos que recaba, las
finalidades necesarias y las que no lo son
para
la
relación
jurídica,
así
como
las
características principales de su tratamiento.
Cuando se traten datos personales como
7
parte de un proceso de toma de decisiones
Art. 15
sin que intervenga la valoración de una
persona
física,
el
responsable
Art. 14
Paso 2. Política de
Art. 23
Gestión de Datos
Art. 112
Personales.
NO APLICA
NO APLICA
NO APLICA
NO APLICA
deberá
informar al titular que esta situación ocurre.
Si obtiene los datos de manera automática,
deberá informar al titular sobre el uso de
estas tecnologías y la forma en que podrá
deshabilitarlas.
Paso 7.
Cuando los datos personales sean obtenidos
directamente
8
del
titular,
el
aviso
Implementación de
de
privacidad debe ponerse a disposición de los
Art. 3, I
titulares a través de formatos impresos,
Art. 17
digitales, visuales, sonoros o cualquier otra
tecnología.
las Medidas de
Art. 27
Seguridad
Aplicables a los
Datos Personales.
Cumplimiento
485
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Cotidiano de
Medidas de
Seguridad.
Paso 7.
El aviso de privacidad
debe contener un
mecanismo,
el
para
que
titular
Implementación de
las Medidas de
pueda
manifestar su negativa al tratamiento de sus
9
datos
personales.
Cuando
los
datos
se
obtengan de manera indirecta del titular, el
responsable deberá darle a conocer el aviso
de privacidad y sus cambios.
Art. 14
Art. 18
Art. 29
Art. 32
Seguridad
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
Cumplimiento
Cotidiano de
Medidas de
Seguridad
486
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
Implementación de
las Medidas de
Para efectos de demostrar la puesta a
disposición
10
del
aviso
de
privacidad
Seguridad
en
cumplimiento del principio de información, la
Art. 31
carga de la prueba recaerá, en todos los
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
Cumplimiento
casos, en el responsable.
Cotidiano de
Medidas de
Seguridad.
CALIDAD
Establecer y mantener un modelo
PO2.1
Modelo
Arquitectura
El responsable procurará que los datos
personales contenidos en las bases de datos
11
sean
exactos,
completos,
pertinentes,
correctos y actualizados según se requiera
para el cumplimiento de la finalidad para la
cual son tratados.
de
de información empresarial que
de
facilite
Art. 36
desarrollo
de
Información
aplicaciones y las actividades de
Empresarial.
soporte a la toma de decisiones,
consistente con los planes de TI.
Paso 2. Política de
Art. 11
el
Gestión de Datos
PO2.2 Diccionario de
Mantener un diccionario de datos
Personales.
Datos Empresarial y
empresarial que incluya las reglas
Reglas de Sintaxis de
de
Datos.
organización.
PO2.3
Esquema
Clasificación
Datos.
sintaxis
de
un
datos
de
esquema
la
de
Establecer
de
de
clasificación que aplique a toda la
empresa, basado en que tan crítica
487
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
y sensible es la información de la
empresa.
Definir
PO2.4 Administración
de Integridad.
e
Implementar
procedimientos para garantizar la
integridad y consistencia de todos
los datos almacenados en formato
electrónico.
Adoptar y mantener estándares
para todo desarrollo y adquisición
PO8.3 Estándares de
que siga el ciclo de vida, hasta el
Desarrollo
último
y
de
Adquisición.
entregable
e
incluir
la
aprobación en puntos clave con
base en criterios de aceptación
acordados.
Verificar que todos los datos que
DS11.1
Requerimientos
Negocio
Administración
Datos.
se espera procesar se reciben y
del
procesan
completamente,
de
para
forma precisa y a tiempo, y que
de
todos los resultados se entregan
de acuerdo a los requerimientos
de negocio.
488
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Establecer
PO2.3
Cuando los datos de carácter personal hayan
Clasificación
dejado
Datos.
de
ser
necesarios
para
el
de
empresa, basado en que tan crítica
y sensible es la información de la
el aviso de privacidad y las disposiciones
Definir
Art. 3 III
El responsable de la base de datos estará
Art. 11
Paso 2. Política de
Art. 37
de
e
implementar
DS11.2 Acuerdos de
procedimientos para el archivo,
Almacenamiento
almacenamiento y retención de los
y
Conservación.
datos,
de
forma
efectiva
y
eficiente.
Personales.
obligado a eliminar la información relativa al
incumplimiento
Gestión de Datos
de
clasificación que aplique a toda la
empresa.
previo bloqueo de los mismos.
esquema
de
cumplimiento de las finalidades previstas por
legales aplicables, deberán ser cancelados,
12
Esquema
un
Definir
obligaciones
e
implementar
procedimientos para asegurar que
contractuales, una vez que transcurra un
los
plazo de setenta y dos meses, contado a
para
DS11.4 Eliminación.
partir de la fecha calendario en que se
requerimientos
la
sensitivos
presente el mencionado incumplimiento.
de
protección
y
el
negocio
de
datos
software
se
consiguen cuando se eliminan o
transfieren
los
datos
y/o
el
hardware.
Establecer
El responsable establecerá y documentará
13
procedimientos para la conservación y, en su
caso, bloqueo y supresión de los datos
personales.
Paso 2. Política de
Art. 38
Gestión de Datos
Personales.
PO2.3
Esquema
Clasificación
un
esquema
de
de
clasificación que aplique a toda la
de
empresa, basado en que tan crítica
Datos.
y sensible es la información de la
empresa.
DS11.2 Acuerdos de
Definir
e
implementar
489
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Almacenamiento
y
Conservación.
procedimientos para el archivo,
almacenamiento y retención de los
datos,
de
forma
efectiva
y
eficiente.
Definir
e
implementar
procedimientos para asegurar que
los
requerimientos
para
DS11.4 Eliminación.
la
de
protección
sensitivos
y
el
negocio
de
datos
software
se
consiguen cuando se eliminan o
transfieren
los
datos
y/o
el
hardware.
Definir
e
procedimientos
DS11.5
Respaldo
y
Restauración.
restauración
implementar
de
de
aplicaciones,
respaldo
los
y
sistemas,
datos
y
documentación en línea con los
requerimientos de negocio y el
plan de continuidad.
DS11.6
Definir e implementar las políticas
Requerimientos
Seguridad
para
Administración
Datos.
de
la
de
y procedimientos para identificar y
aplicar
los
seguridad
requerimientos
aplicables
al
de
recibo,
procesamiento, almacén y salida
490
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
de los datos.
Establecer
PO2.3
Esquema
Clasificación
un
esquema
de
de
clasificación que aplique a toda la
de
empresa, basado en que tan crítica
Datos.
y sensible es la información de la
empresa.
Definir
Paso 7.
Implementación de
las Medidas de
Seguridad
Al responsable le corresponde demostrar que
14
los datos personales se conservan, o en su
caso, bloquean, suprimen o cancelan.
Art. 39
e
implementar
DS11.2 Acuerdos de
procedimientos para el archivo,
Almacenamiento
almacenamiento y retención de los
y
Conservación.
datos,
de
forma
efectiva
y
eficiente.
Aplicables a los
Datos Personales.
Definir
e
implementar
Cumplimiento
procedimientos para asegurar que
Cotidiano de
los
Medidas de
Seguridad.
requerimientos
para
DS11.4 Eliminación.
la
sensitivos
de
protección
y
el
de
negocio
datos
software
se
consiguen cuando se eliminan o
transfieren
los
datos
y/o
el
hardware.
DS11.5
Respaldo
Restauración.
y
Definir
e
procedimientos
implementar
de
respaldo
491
y
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
restauración
de
aplicaciones,
los
sistemas,
datos
y
documentación en línea con los
requerimientos de negocio y el
plan de continuidad.
Definir e implementar las políticas
DS11.6
Requerimientos
Seguridad
para
Administración
de
la
de
Datos.
y procedimientos para identificar y
aplicar
los
seguridad
requerimientos
aplicables
al
de
recibo,
procesamiento, almacén y salida
de los datos.
FINALIDAD
El tratamiento de datos personales deberá
Verificar que todos los datos que
limitarse al cumplimiento de las finalidades
DS11.1
previstas en el aviso de privacidad.
15
Si el responsable pretende tratar los datos
para un fin distinto al establecido, deberá
obtener nuevamente el consentimiento del
titular.
Art. 12
Art. 40
Paso 2. Política de
Requerimientos
Art. 42
Gestión de Datos
Negocio
Art. 43
Personales.
Administración
Datos.
se espera procesar se reciben y
del
procesan
completamente,
de
para
forma precisa y a tiempo, y que
de
todos los resultados se entregan
de acuerdo a los requerimientos
de negocio.
492
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Definir e implementar las políticas
El titular podrá oponerse o revocar su
DS11.6
consentimiento para las finalidades distintas
Requerimientos
a las que dieron origen a la relación jurídica,
Seguridad
sin que ello tenga como consecuencia la
Administración
conclusión del tratamiento.
Datos.
de
para
la
de
y procedimientos para identificar y
aplicar
los
seguridad
requerimientos
aplicables
al
de
recibo,
procesamiento, almacén y salida
de los datos.
PROPORCIONALIDAD
Verificar que todos los datos que
DS11.1
se espera procesar se reciben y
Requerimientos
Negocio
El tratamiento de datos personales será el
en relación con las finalidades previstas en el
aviso de privacidad. En particular para datos
Art. 13
personales sensibles, el responsable deberá
Art. 45
Art. 46
Paso 2. Política de
Gestión de Datos
Personales.
limitar el periodo de tratamiento al mínimo
completamente,
de
forma precisa y a tiempo, y que
de
todos los resultados se entregan
Datos.
de acuerdo a los requerimientos
de negocio.
DS11.6
Requerimientos
Seguridad
indispensable.
procesan
para
Administración
que resulte necesario, adecuado y relevante
16
del
de
para
la
Administración
de
Datos.
Definir e implementar las políticas
y procedimientos para identificar y
aplicar
los
seguridad
requerimientos
aplicables
al
de
recibo,
procesamiento, almacén y salida
de los datos.
CONFIDENCIALIDAD
17
El responsable o terceros que intervengan en
cualquier fase del tratamiento de datos
Art. 21
Art. 9
Paso 2. Política de
PO4.14
Políticas
Gestión de Datos
Procedimientos
y
Asegurar que los consultores y el
para
personal contratado que soporta
493
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
personales deberán guardar confidencialidad
Personales.
Identificador y
nombre
Descripción
Objetivo de Control
Personal Contratado.
la función de TI cumplan con las
respecto de éstos, obligación que subsistirá
políticas
organizacionales
aun después de finalizar sus relaciones con el
protección
titular o, en su caso, con el responsable.
información de la empresa.
de
Establecer
estructura
y
los
de
activos
mantener
óptima
de
de
una
enlace,
comunicación y coordinación entre
PO4.15 Relaciones.
la
función
de
TI
y
otros
interesados dentro y fuera de la
función de TI.
Identificación
DS1
Definir
de
requerimientos
y
de servicio, el acuerdo de niveles
administrar los niveles
de servicio y el monitoreo del
de servicio.
cumplimiento de los niveles de
servicio.
DS2 Administrar los
servicios de terceros.
Brindar servicios satisfactorios de
terceros con transparencia acerca
de los beneficios, riesgos y costos.
RESPONSABILIDAD
El responsable tiene la obligación de velar y
18
responder por el tratamiento de los datos
personales en su posesión, debiendo adoptar
las medidas necesarias.
Art. 14
Art. 47
Paso 2. Política de
PO2
Definir
Gestión de Datos
Arquitectura
Personales.
Información.
de
la
la
Conceptos para el establecimiento
de una arquitectura que incluya
los procesos de negocio y los
diferentes componentes de TI.
494
N°
Requerimiento normativo
El responsable deberá tomar las medidas
necesarias y suficientes para garantizar que el
aviso de privacidad dado a conocer al titular,
sea respetado en todo momento por él o
por terceros con los que guarde alguna
relación jurídica.
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
PO8
Administrar
la
Calidad.
de calidad en todos los procesos
de la organización.
AI6
Administrar
cambios.
AI7
Definir y comunicar los requisitos
de
políticas
procedimientos
para
y
acreditar soluciones y
cambios.
modificados
problemas
que
trabajen
importantes
sin
después
de la instalación.
Asegurar
la
administrar los niveles
servicios
claves
de servicio.
estrategia del negocio.
Definir
DS2 Administrar los
servicios de terceros.
Garantizar
continuidad
la
del
servicio.
DS5
la
Contar con sistemas nuevos o
y
DS4
y
administración de cambios.
Instalar
DS1
Definición
de
TI
de
los
con
la
Brindar servicios satisfactorios de
terceros con transparencia acerca
de los beneficios, riesgos y costos.
Definición
de
políticas
y
procedimientos de gestión de la
continuidad así como planes de
contingencia.
Garantizar
seguridad
alineación
de
la
los
Establecer
políticas
y
procedimientos para la gestión de
sistemas.
la seguridad de la información.
DS11 Administrar los
Optimizar el uso de la información
495
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
datos.
y garantizar la disponibilidad de la
información cuando se requiera.
Proteger los activos de cómputo y
DS12 Administrar el
la
información
del
negocio
ambiente físico.
minimizando el riesgo de una
interrupción del servicio.
DS13 Administrar las
operaciones.
PO8
Administrar
19
Paso 5. Realizar el
para
Análisis de Riesgo
garantizar
el
debido
tratamiento,
privilegiando los intereses del titular y la
expectativa razonable de privacidad.
Art. 14
Art. 48
y
procedimientos para la entrega de
la
Definir y comunicar los requisitos
de calidad en todos los procesos
de la organización.
Evaluar
Administrar
Los responsables deberán adoptar medidas
políticas
servicios de TI.
Calidad.
PO9
Establecer
y
los
Riesgos de TI.
La elaboración de un marco de
trabajo
de
administración
de
riesgos el cual está integrado en
los marcos gerenciales
Identificar, documentar y analizar
de los Datos
los
Personales.
AI1.2
Reporte
de
Análisis de Riesgos.
riesgos
asociados
requerimientos
del
con
negocio
los
y
diseño de soluciones como parte
de los procesos organizacionales
para
el
desarrollo
de
los
requerimientos.
DS5
Garantizar
la
Establecer
políticas
y
496
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
seguridad
de
los
procedimientos para la gestión de
sistemas.
la seguridad de la información.
DS11.6
Definir e implementar las políticas
Requerimientos
Seguridad
de
para
Administración
la
de
Datos.
y procedimientos para identificar y
aplicar
los
seguridad
requerimientos
aplicables
al
de
recibo,
procesamiento, almacén y salida
de los datos.
Proteger los activos de cómputo y
DS12 Administrar el
la
información
del
negocio
ambiente físico.
minimizando el riesgo de una
interrupción del servicio.
Definir
PO6.1 Ambiente
de
Políticas y de Control.
Elaborar políticas y programas de privacidad
20
obligatorios y exigibles al interior de la
organización.
alineados
de
un
control
para
TI,
de
con
la
filosofía
administrativa y el estilo operativo
Elaborar y dar mantenimiento a un
Gestión de Datos
Personales.
ambiente
elementos
de la empresa.
Paso 2. Política de
Art. 48 - I
los
PO6.2
Riesgo
Corporativo y Marco
de
Referencia
de
Control Interno de TI.
marco de trabajo que establezca
el enfoque empresarial general
hacia los riesgos y el control que
se alinee con la política de TI, el
ambiente de control y el marco de
trabajo de riesgo y control de la
497
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
empresa.
Trasladar los requerimientos de
negocio, riesgos y cumplimiento
DS5.2
Plan
de
Seguridad de TI.
dentro de un plan de seguridad
de
TI
completo,
teniendo
en
consideración la infraestructura de
TI y la cultura de seguridad.
Proporcionar a los empleados de
TI
la
orientación
21
en
práctica
un
programa
de
capacitación, actualización, y concientización
del
personal
sobre
las
obligaciones
en
momento de la contratación y
del Personal de TI.
entrenamiento
materia de protección de datos personales.
Capacitación.
y
para
mejorar
su
Trasladar los requerimientos de
Continua y
Capacitación.
continuo
conocimiento.
Paso 9. Mejora
Art. 48 - II
al
PO7.4 Entrenamiento
conservar
Poner
necesaria
negocio, riesgos y cumplimiento
DS5.2
Plan
de
Seguridad de TI.
dentro de un plan de seguridad
de
TI
completo,
teniendo
en
consideración la infraestructura de
TI y la cultura de seguridad.
DS7
Entrenar
Educar
a
y
Educar y entrenar a los usuarios
los
respecto a los servicios de TI
Usuarios.
22
Establecer
un
sistema
de
supervisión
y
vigilancia interna, verificaciones o auditorías
Art. 48 - III
Paso 8. Revisiones y
Auditoría.
PO8.6
ofrecidos.
Medición,
Monitoreo y Revisión
Definir,
planear
mediciones
para
e
implementar
monitorear
498
el
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
externas para comprobar el cumplimiento de
Identificador y
nombre
Descripción
Objetivo de Control
de la Calidad.
cumplimiento continuo del QMS,
las políticas de privacidad.
así como el valor que el QMS
proporciona.
DS5.5
Pruebas,
Garantizar que la implementación
y
de la seguridad en TI sea probada
la
y monitoreada
Vigilancia
Monitoreo
de
Seguridad.
ME2
pro-
activa.
Monitorear
Evaluar
de forma
el
y
Control
Interno.
Monitorear y evaluar el control
interno en relación a los objetivos
de
negocio
y
a
los
riesgos
operativos identificados.
Administrar la seguridad de TI al
nivel más alto apropiado en la
Paso 3. Establecer
23
Destinar recursos para la instrumentación de
los programas y políticas de privacidad.
DS5.1 Administración
organización, de manera que las
de la Seguridad de TI.
acciones de administración de la
seguridad estén en línea con los
Funciones y
Art. 48 - IV
requerimientos del negocio.
Obligaciones de
Trasladar los requerimientos de
Quienes Traten
Datos Personales.
negocio, riesgos y cumplimiento
DS5.2
Plan
de
Seguridad de TI.
dentro de un plan de seguridad
de
TI
completo,
teniendo
en
consideración la infraestructura de
TI y la cultura de seguridad.
24
Instrumentar un procedimiento para que se
Art. 48 - V
Paso 5. Realizar el
PO9
Evaluar
y
La elaboración de un marco de
499
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
atienda el riesgo para la protección de datos
Análisis de Riesgo
personales por la implementación de nuevos
de los Datos
productos, servicios, tecnologías y modelos
Personales.
Identificador y
nombre
Descripción
Objetivo de Control
Administrar
los
Riesgos de TI.
trabajo
de
administración
de
riesgos el cual está integrado en
los marcos gerenciales.
de negocios, así como para mitigarlos.
Identificar, documentar y analizar
los
AI1.2
Reporte
de
Análisis de Riesgos.
riesgos
asociados
requerimientos
del
con
negocio
los
y
diseño de soluciones como parte
de los procesos organizacionales
para
el
desarrollo
de
los
requerimientos.
Administrar la seguridad de TI al
nivel más alto apropiado dentro
DS5.1 Administración
de la organización, de manera que
de la Seguridad de TI.
las acciones de administración de
la seguridad estén en línea con los
requerimientos del negocio.
Trasladar los requerimientos de
negocio, riesgos y cumplimiento
DS5.2
Plan
de
Seguridad de TI.
dentro de un plan de seguridad
de
TI
completo,
teniendo
en
consideración la infraestructura de
TI y la cultura de seguridad.
DS5.11
Intercambio
de Datos Sensitivos.
Transacciones de datos sensibles
se intercambian solo a través de
500
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
una ruta o medio con controles
para proporcionar autenticidad de
contenido,
prueba
de
envío,
prueba de recepción y no repudio
del origen.
DS11.6
Definir e implementar las políticas
Requerimientos
Seguridad
para
Administración
de
la
de
Datos.
y procedimientos para identificar y
aplicar
los
seguridad
requerimientos
aplicables
al
de
recibo,
procesamiento, almacén y salida
de los datos.
La identificación de todas las leyes
ME3
Garantizar
el
Cumplimiento
y regulaciones aplicables y el nivel
correspondiente de cumplimiento
de TI y la optimización de los
Regulatorio.
procesos de TI para reducir el
riesgo de no cumplimiento.
Definir,
PO8.6
Revisar
25
periódicamente
las
políticas
y
programas de seguridad para determinar las
modificaciones que se requieran.
Art. 48 - VI
Paso 8. Revisiones y
Auditoría.
Medición,
planear
mediciones
para
e
implementar
monitorear
el
Monitoreo y Revisión
cumplimiento continuo del QMS,
de la Calidad.
así como el valor que el QMS
proporciona.
DS5.2
Plan
Seguridad de TI.
de
Trasladar los requerimientos de
negocio, riesgos y cumplimiento
501
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
dentro de un plan de seguridad
de
TI
completo,
teniendo
en
consideración la infraestructura de
TI y la cultura de seguridad.
ME2
Monitorear y
Evaluar
el
Control
Interno.
Monitorear y evaluar el control
interno en relación a los objetivos
de
negocio
y
a
los
riesgos
operativos identificados.
Establecer la función de mesa de
servicio, la cual es la conexión del
usuario
Paso 7.
Implementación de
DS8.1
Mesa
de
Servicios.
26
procedimientos
para
recibir
responder dudas y quejas de los titulares de
los datos personales.
Art. 48 - VII
para
atender
todas
llamadas,
las
servicio
Seguridad
y
TI,
comunicar,
reportados,
las Medidas de
Establecer
con
y
registrar,
analizar
incidentes
requerimientos
y
solicitudes
de
de
información.
Aplicables a los
Datos Personales.
Establecer una función y sistema
Cumplimiento
Cotidiano de
DS8.2
Registro
de
Medidas de
Consultas de Clientes.
Seguridad.
que permita el registro y rastreo
de llamadas, incidentes, solicitudes
de
servicio
y
necesidades
de
información.
DS8.3
Escalamiento
Establecer
procedimientos
de
mesa de servicios de manera que
502
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
de Incidentes.
los incidentes que no puedan
resolverse
sean
de
de
forma
escalados
acuerdo
inmediata
apropiadamente
con
los
límites
acordados en el SLA y, si es
adecuado,
brindar
soluciones
alternas.
Establecer procedimientos para el
DS8.4
Cierre
de
Incidentes.
monitoreo
puntual
de
la
resolución de consultas de los
clientes.
Trasladar los requerimientos de
negocio, riesgos y cumplimiento
DS5.2
Plan
de
Seguridad de TI.
Disponer
27
de
mecanismos
para
el
cumplimiento de las políticas y programas de
privacidad, así como de sanciones por su
incumplimiento.
de
Datos Personales.
completo,
teniendo
en
TI y la cultura de seguridad.
Obligaciones de
Quienes Traten
TI
consideración la infraestructura de
Paso 3. Funciones y
Art. 48 - VIII
dentro de un plan de seguridad
DS5.5
Pruebas,
Garantizar que la implementación
y
de la seguridad en TI sea probada
la
y monitoreada
Vigilancia
Monitoreo
de
de forma
pro-
Seguridad.
activa.
DS5.6 Definición de
Definir claramente y comunicar las
Incidente
características de incidentes de
de
503
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Seguridad.
seguridad potenciales para que
puedan ser clasificados y tratados
apropiadamente.
Establecer
PO2.3
Esquema
Clasificación
un
esquema
de
de
clasificación que aplique a toda la
de
empresa, basado en que tan crítica
Datos.
y sensible es la información de la
empresa.
Proporcionar
soluciones
tecnológicas consistentes, efectivas
PO3.4
Establecer medidas para el aseguramiento de
Paso 6.
los datos personales, es decir, un conjunto
28
de acciones técnicas y administrativas que
permitan garantizar al responsable el
cumplimiento de los principios y obligaciones
que establece la Ley y su Reglamento.
Estándares
Tecnológicos.
establecer
para
Identificación de las
Art. 48 - IX
y seguras para toda la empresa,
un
tecnológico
brindar
medidas de
tecnológicas.
seguridad y Análisis
Proporcionar
de Brecha.
foro
directrices
al
procedimientos
negocio
y
los
herramientas
PO4.9 Propiedad de
que le permitan enfrentar sus
los datos y sistemas.
responsabilidades
de
propiedad
sobre los datos y los sistemas de
información.
AI2.4
Seguridad
y
Disponibilidad de las
Aplicaciones.
Abordar
la
seguridad
de
las
aplicaciones y los requerimientos
de disponibilidad en respuesta a
los riesgos identificados y en línea
504
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
con la clasificación de datos
Implementar medidas de control
interno, seguridad y auditabilidad
AI3.2
Protección
y
durante
la
configuración,
Disponibilidad
del
integración y mantenimiento del
Recurso
de
hardware y del software de la
Infraestructura.
infraestructura para proteger los
recursos
y
garantizar
su
disponibilidad e integridad
DS5
Garantizar
seguridad
de
la
los
sistemas.
DS12.2
Establecer
políticas
y
procedimientos para la gestión de
la seguridad de la información.
Medidas
de
Seguridad Física.
Definir e implementar medidas de
seguridad físicas alineadas con los
requerimientos del negocio.
Definir
e
procedimientos
limitar
DS12.3 Acceso Físico.
y
locales,
revocar
edificios
implementar
para
otorgar,
el acceso a
y
áreas
de
acuerdo con las necesidades del
negocio,
incluyendo
las
emergencias.
DS11.6
Requerimientos
Definir e implementar las políticas
de
y procedimientos para identificar y
505
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Seguridad
para
Administración
la
de
Datos.
aplicar
los
seguridad
requerimientos
aplicables
al
de
recibo,
procesamiento, almacén y salida
de los datos.
Implementar controles de negocio,
AI2.3
Control
y
Posibilidad de Auditar
las Aplicaciones.
cuando aplique, en controles de
aplicación automatizados tal que
el
procesamiento
sea
exacto,
completo, oportuno, autorizado y
auditable.
Asegurar que todos los usuarios y
29
Establecer medidas para la trazabilidad de los
Paso 6.
datos personales, es decir acciones, medidas
Identificación de las
y procedimientos técnicos que
permiten
rastrear a los datos personales durante su
tratamiento.
Art. 48 - X
DS5.3 Administración
su actividad en sistemas de TI
de Identidad.
deben ser identificables de manera
única.
medidas de
Transacciones de datos sensibles
seguridad y Análisis
se intercambian solo a través de
de Brecha.
DS5.11
Intercambio
de Datos Sensitivos.
una ruta o medio con controles
para proporcionar autenticidad de
contenido,
prueba
de
envío,
prueba de recepción y no repudio
del origen.
DS11.1
Requerimientos
Negocio
Verificar que todos los datos que
del
para
se espera procesar se reciben y
procesan
completamente,
506
de
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Administración
de
Datos.
forma precisa y a tiempo, y que
todos los resultados se entregan
de acuerdo a los requerimientos
de negocio.
Definir e implementar las políticas
DS11.6
Requerimientos
Seguridad
para
Administración
de
la
de
Datos.
Paso 7.
Implementación de
Todo responsable deberá designar a una
persona,
personales,
30
o
departamento
quien
dará
de
las Medidas de
datos
trámite
a
Seguridad
las
solicitudes de los titulares, para el ejercicio
Aplicables a los
Art. 30
Cumplimiento
Asimismo fomentará la protección de datos
Cotidiano de
personales al interior de la organización.
Medidas de
aplicar
los
seguridad
requerimientos
aplicables
al
de
recibo,
procesamiento, almacén y salida
de los datos.
PO4.8
Establecer
Responsabilidad
sobre el Riesgo, la
Seguridad
y
el
Cumplimiento.
la
responsabilidad
propiedad
de
y
los
la
riesgos
relacionados con TI a un nivel
superior apropiado.
Administrar la seguridad de TI al
Datos Personales.
de los derechos a que se refiere la Ley.
y procedimientos para identificar y
nivel más alto apropiado dentro
DS5.1 Administración
de la organización, de manera que
de la Seguridad de TI.
las acciones de administración de
la seguridad estén en línea con los
Seguridad.
requerimientos del negocio.
SEGURIDAD
Todo
31
responsable
tratamiento
de
que
datos
lleve
personales
a
cabo
deberá
establecer y mantener medidas de seguridad
Art. 19
Art. 4
Paso 6.
Art. 9
Identificación de las
Art. 57
medidas de
PO2.3
Esquema
Clasificación
de
de
Establecer
un
esquema
de
clasificación que aplique a toda la
empresa, basado en que tan crítica
507
N°
Requerimiento normativo
administrativas,
permitan
técnicas
proteger
los
y
físicas
datos
que
personales
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
seguridad y Análisis
Identificador y
nombre
Descripción
Objetivo de Control
Datos.
y sensible es la información de la
de Brecha.
empresa.
contra daño, pérdida, alteración, destrucción
Implementar medidas de control
o el uso, acceso o tratamiento no autorizado.
interno, seguridad y auditabilidad
No
adoptarán
medidas
de
seguridad
AI3.2
Protección
y
durante
la
configuración,
menores a aquellas que mantengan para el
Disponibilidad
del
integración y mantenimiento del
manejo de su información.
Recurso
de
hardware y del software de la
Infraestructura.
infraestructura para proteger los
Cuando el encargado se encuentre ubicado
recursos
en territorio mexicano, le serán aplicables las
disponibilidad e integridad.
disposiciones relativas a las medidas de
seguridad contenidas en el Capítulo III de
Reglamento.
DS5
Garantizar
seguridad
de
la
los
sistemas.
garantizar
Establecer
su
políticas
y
procedimientos para la gestión de
la seguridad de la información.
DS11.6
Definir e implementar las políticas
Requerimientos
Seguridad
y
para
Administración
de
la
de
Datos.
y procedimientos para identificar y
aplicar
los
seguridad
requerimientos
aplicables
al
de
recibo,
procesamiento, almacén y salida
de los datos.
DS12 Administrar el
Proteger los activos de cómputo y
la
información
del
negocio
508
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
ambiente físico.
minimizando el riesgo de una
interrupción del servicio.
El responsable determinará las medidas de
seguridad aplicables a los datos personales
PO9
Evaluar y
que trate, considerando el riesgo existente,
Administrar
las posibles consecuencias para los titulares,
Riesgos de TI.
los
tecnológico.
32
manera
trabajo
de
administración
riesgos el cual está integrado en
Identificar, documentar y analizar
adicional,
el
elementos:
los
Paso 5. Realizar el
responsable
procurará tomar en cuenta los siguientes
Art. 19
Art. 60
Análisis de Riesgo
de los Datos
AI1.2
Reporte de
Análisis de Riesgos.
riesgos
asociados
requerimientos
del
para
el
desarrollo
requerimientos.
los sistemas de tratamiento;
Abordar
riesgo
por
el
valor
potencial
AI2.4
Seguridad
cuantitativo o cualitativo que pudieran tener
y
los datos personales tratados para una
las Aplicaciones.
tercera
persona
no
autorizada
para
su
Disponibilidad
negocio
los
y
diseño de soluciones como parte
II. Las vulnerabilidades previas ocurridas en
El
con
de los procesos organizacionales
Personales.
I. El número de titulares;
III.
de
los marcos gerenciales.
la sensibilidad de los datos y el desarrollo
De
La elaboración de un marco de
de
la
seguridad
de
de
los
las
aplicaciones y los requerimientos
de disponibilidad en respuesta a
los riesgos identificados y en línea
con la clasificación de datos
509
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
posesión, y
Trasladar los requerimientos de
IV. Demás factores que puedan incidir en el
negocio, riesgos y cumplimiento
nivel de riesgo o que resulten de otras leyes
DS5.2
Plan de
o regulación aplicable al responsable.
Seguridad de TI.
dentro de un plan de seguridad
de
TI
completo,
teniendo
en
consideración la infraestructura de
TI y la cultura de seguridad.
DS11.6
Definir e implementar las políticas
Requerimientos
Seguridad
para
Administración
de
la
de
Datos.
y procedimientos para identificar y
aplicar
los
seguridad
requerimientos
aplicables
al
de
recibo,
procesamiento, almacén y salida
de los datos.
Establecer
PO2.3
Esquema
Clasificación
Elaborar un inventario de datos personales y
de los sistemas de tratamiento.
de
empresa, basado en que tan crítica
y sensible es la información de la
empresa.
Establecer
Inventario de Datos
Personales.
de
clasificación que aplique a toda la
Paso 4. Elaborar un
Art. 61 - I
esquema
de
Datos.
33
un
y
mantener
un
repositorio completo y preciso de
DS9
Administrar
la
configuración.
atributos de la configuración de
los activos y de líneas base y
compararlos
contra
la
configuración actual.
DS11.3
Sistema
de
Definir
e
implementar
510
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Administración
de
Librerías de Medios.
procedimientos para mantener un
inventario de medios almacenados
y archivados para asegurar su
usabilidad e integridad.
DS13.4
Documentos
Sensitivos
y
Dispositivos de Salida.
Establecer
resguardos
prácticas
de
físicos,
registro
administración
de
y
inventarios
adecuados sobre los activos de TI
más sensitivos.
Proporcionar
Paso 3. Establecer
34
Determinar las funciones y obligaciones de
las personas que traten datos personales.
Funciones y
Art. 61 - II
Obligaciones de
Quienes Traten
procedimientos
35
Análisis de Riesgo
que
consiste
en
identificar
peligros y estimar los riesgos a los datos
personales.
Art. 61 - III
responsabilidades
de
propiedad
sobre los datos y los sistemas de
información.
Evaluar
y
los
Riesgos de TI.
La elaboración de un marco de
trabajo
de
administración
de
riesgos el cual está integrado en
los marcos gerenciales.
Identificar, documentar y analizar
de los Datos
Personales.
herramientas
los datos y sistemas.
Administrar
personales
y
los
que le permitan enfrentar sus
PO9
Paso 5. Realizar el
negocio
PO4.9 Propiedad de
Datos Personales.
Contar con un análisis de riesgos de datos
al
AI1.2
Reporte
Análisis de Riesgos.
de
los
riesgos
asociados
requerimientos
del
con
negocio
los
y
diseño de soluciones como parte
de los procesos organizacionales
511
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
para
el
desarrollo
de
los
requerimientos.
Abordar
AI2.4
Seguridad
la
seguridad
de
las
y
aplicaciones y los requerimientos
Disponibilidad de las
de disponibilidad en respuesta a
Aplicaciones.
los riesgos identificados y en línea
con la clasificación de datos.
Implementar medidas de control
interno, seguridad y auditabilidad
AI3.2
Paso 6.
Establecer
36
las
medidas
de
seguridad
aplicables a los datos personales e identificar
aquéllas implementadas de manera efectiva.
Identificación de las
Art. 61 - IV
medidas de
Protección
y
durante
la
configuración,
Disponibilidad
del
integración y mantenimiento del
Recurso
de
hardware y del software de la
Infraestructura.
infraestructura para proteger los
recursos
seguridad y Análisis
y
garantizar
su
disponibilidad e integridad.
de Brecha.
Asegurar que todos los usuarios y
DS5.3 Administración
su actividad en sistemas de TI
de Identidad.
deben ser identificables de manera
única.
Garantizar
que
la
solicitud,
DS5.4 Administración
establecimiento,
de
suspensión, modificación y cierre
Cuentas
Usuario.
del
emisión,
de cuentas de usuario y de los
privilegios
relacionados
estén
512
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
controlados por medio de políticas
y procedimientos.
Garantizar
que
la
tecnología
DS5.7 Protección de
relacionada con la seguridad sea
la
resistente al sabotaje y no revele
Tecnología
de
Seguridad.
documentación
de
seguridad
innecesaria.
Determinar
las
políticas
y
procedimientos para organizar la
DS5.8 Administración
generación,
de
destrucción, distribución,
Llaves
Criptográficas.
cambio,
certificación,
revocación,
almacenamiento,
captura, uso y archivo de llaves
criptográficas
Poner
medidas
detectivas
DS5.9
Prevención,
Detección
Corrección
y
de
Software Malicioso.
y
preventivas,
correctivas
(en
especial contar con parches de
seguridad
y
control
actualizados)
en
organización
para
de
virus
toda
proteger
la
los
sistemas de la información y a la
tecnología contra malware.
DS5.10 Seguridad de
Uso de técnicas de seguridad y
la Red.
procedimientos de administración
513
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
asociados (por ejemplo, firewalls,
dispositivos
de
segmentación
detección
seguridad,
de
de
redes,
intrusos)
y
para
autorizar acceso y controlar los
flujos de información desde y
hacia las redes.
Transacciones de datos sensibles
se intercambian solo a través de
DS5.11
Intercambio
de Datos Sensitivos.
una ruta o medio con controles
para proporcionar autenticidad de
contenido,
prueba
de
envío,
prueba de recepción y no repudio
del origen.
ME2
Monitorear
Evaluar
37
Realizar el análisis de brecha que consiste en
Paso 6.
la diferencia de las medidas de seguridad
Identificación de las
existentes y aquéllas faltantes que resultan
necesarias para la protección de los datos
personales.
Art. 61 - V
el
y
Control
Interno.
de Brecha.
interno en relación a los objetivos
de
negocio
y
a
los
riesgos
operativos identificados.
La identificación de todas las leyes
medidas de
seguridad y Análisis
Monitorear y evaluar el control
ME3
Garantizar
Cumplimiento
Regulatorio.
el
y regulaciones aplicables y el nivel
correspondiente de cumplimiento
de TI y la optimización de los
procesos de TI para reducir el
riesgo de no cumplimiento.
514
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
Implementación de
Elaborar
38
un
plan
de
trabajo
para
la
implementación de las medidas de seguridad
ME2
Monitorear
las Medidas de
Evaluar
el
Seguridad
Interno.
y
Control
faltantes, derivadas del análisis de brecha.
Datos Personales.
Implementación de
las Medidas de
de
negocio
y
a
los
riesgos
La identificación de todas las leyes
Plan de Trabajo
para la
interno en relación a los objetivos
operativos identificados.
Aplicables a los
Art. 61 - VI
Monitorear y evaluar el control
ME3
Garantizar
el
Cumplimiento
y regulaciones aplicables y el nivel
correspondiente de cumplimiento
de TI y la optimización de los
Regulatorio.
procesos de TI para reducir el
Seguridad Faltantes.
riesgo de no cumplimiento.
Definir,
PO8.6
Medición,
planear
mediciones
para
e
implementar
monitorear
el
Monitoreo y Revisión
cumplimiento continuo del QMS,
de la Calidad.
así como el valor que el QMS
proporciona.
39
Llevar a cabo revisiones o auditorías.
Art. 61 - VII
Paso 8. Revisiones y
Auditoría.
DS5.5
Pruebas,
Garantizar que la implementación
y
de la seguridad en TI sea probada
la
y monitoreada
Vigilancia
Monitoreo
de
Seguridad.
ME2
Interno.
el
pro-
activa.
Monitorear
Evaluar
de forma
y
Monitorear y evaluar el control
Control
interno en relación a los objetivos
de
negocio
y
a
los
riesgos
515
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
operativos identificados.
La identificación de todas las leyes
ME3
Garantizar
el
Cumplimiento
y regulaciones aplicables y el nivel
correspondiente de cumplimiento
de TI y la optimización de los
Regulatorio.
procesos de TI para reducir el
riesgo de no cumplimiento.
Proporcionar a los empleados de
TI
Paso 9. Mejora
40
Capacitar
al
personal
que
efectúe
el
tratamiento de datos personales.
Art. 61 - VIII
Continua y
entrenamiento
conservar
los medios de
almacenamiento de los datos personales.
Art. 61 - IX
de los Datos
Personales.
y
continuo
para
mejorar
su
conocimiento,
DS7
Educar
a
y
Educar y entrenar a los usuarios
los
respecto a los servicios de TI
ofrecidos.
Establecer
Paso 5. Realizar el
Realizar un registro de
al
del Personal de TI.
Usuarios.
41
necesaria
momento de la contratación y
Entrenar
Análisis de Riesgo
orientación
PO7.4 Entrenamiento
Capacitación.
Capacitación.
la
y
mantener
un
repositorio completo y preciso de
DS9
Administrar
configuración.
la
atributos de la configuración de
los activos y de líneas base y
compararlos
contra
la
configuración actual.
516
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Definir
DS11.3
Sistema
Administración
e
implementar
de
procedimientos para mantener un
de
inventario de medios almacenados
Librerías de Medios.
y archivados para asegurar su
usabilidad e integridad.
Abordar
AI2.4
Seguridad
la
seguridad
de
las
y
aplicaciones y los requerimientos
Disponibilidad de las
de disponibilidad en respuesta a
Aplicaciones.
los riesgos identificados y en línea
con la clasificación de datos
Implementar medidas de control
interno, seguridad y auditabilidad
3. Acciones a
42
Contar con una relación de las medidas de
seguridad.
implementar para la
Art. 61
AI3.2
Protección
y
durante
la
configuración,
Disponibilidad
del
integración y mantenimiento del
seguridad de los
Recurso
de
hardware y del software de la
datos personales
Infraestructura.
infraestructura para proteger los
documentadas.
recursos
y
garantizar
su
disponibilidad e integridad
Definir e implementar las políticas
DS11.6
Requerimientos
Seguridad
para
Administración
Datos.
de
la
de
y procedimientos para identificar y
aplicar
los
seguridad
requerimientos
aplicables
al
de
recibo,
procesamiento, almacén y salida
de los datos.
517
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
DS12.2
Medidas
de
Seguridad Física.
Definir e implementar medidas de
seguridad físicas alineadas con los
requerimientos del negocio.
Definir,
PO8.6
Actualizar las medidas de seguridad cuando:
I. Se modifiquen las medidas o procesos de
Medición,
proporciona.
del responsable.
Administrar
II. Se produzcan modificaciones sustanciales
Riesgos de TI.
Evaluar
y
los
Art. 62
Análisis de Riesgos.
a
los
de
administración
de
riesgos el cual está integrado en
los
Auditoría.
artículo 20 de la Ley y 63 de su Reglamento.
afectación
trabajo
Identificar, documentar y analizar
AI1.2
una
La elaboración de un marco de
los marcos gerenciales
Paso 8. Revisiones y
de conformidad con lo dispuesto en el
Exista
el
así como el valor que el QMS
PO9
IV.
monitorear
de la Calidad.
de las revisiones a la política de seguridad
III. Se vulneren los sistemas de tratamiento,
para
implementar
cumplimiento continuo del QMS,
en el tratamiento que deriven en un cambio
43
mediciones
e
Monitoreo y Revisión
seguridad para su mejora continua, derivado
del nivel de riesgo.
planear
Reporte
de
datos
asociados
requerimientos
del
con
negocio
los
y
diseño de soluciones como parte
de los procesos organizacionales
para
personales distinta a las anteriores.
riesgos
el
desarrollo
de
los
requerimientos.
En el caso de datos personales sensibles, los
Desarrollar una estrategia y un
responsables procurarán revisar y, en su caso,
actualizar las relaciones correspondientes una
AI3.3
vez al año.
de la Infraestructura.
Mantenimiento
plan
de
mantenimiento
de
la
infraestructura y garantizar que se
controlan los cambios, de acuerdo
con
el
procedimiento
518
de
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
administración de cambios de la
organización.
DS5
Garantizar
seguridad
de
la
los
sistemas.
políticas
y
procedimientos para la gestión de
la seguridad de la información.
Definir e implementar las políticas
DS11.6
Requerimientos
Seguridad
para
Administración
de
la
de
Datos.
DS12.2
Establecer
y procedimientos para identificar y
aplicar
los
seguridad
requerimientos
aplicables
al
de
recibo,
procesamiento, almacén y salida
de los datos.
Medidas
de
Seguridad Física.
Definir e implementar medidas de
seguridad físicas alineadas con los
requerimientos del negocio.
VULNERACIONES A LA SEGURIDAD
DS5.5
Las vulneraciones de seguridad ocurridas en
forma significativa los derechos patrimoniales
44
de forma inmediata por el responsable al
titular, a fin de que este último pueda tomar
las medidas correspondientes a la defensa de
sus derechos.
Garantizar que la implementación
y
de la seguridad en TI sea probada
la
y monitoreada
Vigilancia
cualquier fase del tratamiento que afecten de
o morales de los titulares, serán informadas
Pruebas,
Art. 20
Art. 63
Art. 64
Paso 8. Revisiones y
Monitoreo
Auditoría.
Seguridad.
de
Información.
pro-
activa.
Vulneraciones a la
Seguridad de la
de forma
Definir claramente y comunicar las
DS5.6 Definición de
características de incidentes de
Incidente
seguridad potenciales para que
Seguridad.
de
puedan ser clasificados y tratados
apropiadamente.
519
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
En caso de que ocurra una vulneración a la
seguridad
de
los
datos
personales,
el
responsable deberá informar al titular al
menos lo siguiente:
Paso 8. Revisiones y
I. La naturaleza del incidente.
45
II. Los datos personales comprometidos.
III. Las recomendaciones al titular acerca de
Auditoría.
Art. 65
Vulneraciones a la
Seguridad de la
las medidas que éste pueda adoptar para
Definir claramente y comunicar las
DS5.6 Definición de
características de incidentes de
Incidente
seguridad potenciales para que
de
Seguridad.
puedan ser clasificados y tratados
Información.
proteger sus intereses.
apropiadamente.
IV. Las acciones correctivas realizadas de
forma inmediata.
V. Los medios donde puede obtener más
información al respecto.
DS5.5
personales,
el responsable
deberá
analizar las causas por las cuales se presentó
46
e
implementar
las
acciones
correctivas,
Art. 66
Paso 8. Revisiones y
Monitoreo
Auditoría.
Seguridad.
y
de la seguridad en TI sea probada
la
y monitoreada
de
Seguridad de la
medidas de seguridad correspondientes, a
Información.
de forma
pro-
activa.
Vulneraciones a la
preventivas y de mejora para adecuar las
efecto de evitar que la vulneración se repita.
Garantizar que la implementación
Vigilancia
En caso de que ocurra una vulneración a los
datos
Pruebas,
Definir claramente y comunicar las
DS5.6 Definición de
características de incidentes de
Incidente
seguridad potenciales para que
Seguridad.
de
puedan ser clasificados y tratados
apropiadamente.
520
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
El sistema de administración de
DS10.2
Rastreo
y
Resolución
de
Problemas.
problemas debe mantener pistas
de
auditoría
permitan
adecuadas
rastrear,
que
analizar
y
determinar la causa raíz de todos
los problemas reportados.
ENCARGADO
El
encargado
tendrá
las
Asegurar que los consultores y el
siguientes
obligaciones respecto del tratamiento que
PO4.14
realice por cuenta del responsable:
Procedimientos
y
para
Personal Contratado.
I. Tratar únicamente los datos personales
47
Políticas
personal contratado que soporta
la función de TI cumplan con las
políticas
organizacionales
protección
de
los
de
activos
de
conforme a las instrucciones del responsable.
información de la empresa.
II. Abstenerse de tratar los datos personales
Establecer
para finalidades distintas a las instruidas por
estructura
el responsable.
comunicación y coordinación entre
III. Implementar las medidas de seguridad
Art. 50
1. Recomendación
General.
PO4.15 Relaciones.
la
y
mantener
óptima
función
de
de
TI
una
enlace,
y
otros
conforme a la Ley, su Reglamento y las
interesados dentro y fuera de la
demás disposiciones aplicables.
función de TI.
IV. Guardar confidencialidad respecto de los
datos personales tratados.
V. Suprimir los datos personales objeto de
tratamiento una vez cumplida la relación
jurídica
con
instrucciones
el
responsable
o
por
del responsable, siempre y
AI5.2
de
Administración
Contratos
con
Proveedores.
DS1
Definir
Formular un procedimiento para
establecer, modificar y concluir
contratos
para
todos
los
proveedores.
y
administrar los niveles
Identificación
de
requerimientos
de servicio, el acuerdo de niveles
521
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
cuando no exista una previsión legal que
Identificador y
nombre
Descripción
Objetivo de Control
de servicio.
de servicio y el monitoreo del
exija la conservación de los datos personales.
cumplimiento de los niveles de
VI.
servicio.
Abstenerse
de
transferir
los
datos
personales salvo en el caso de que el
responsable
así
lo
determine,
DS2 Administrar los
la
servicios de terceros.
comunicación derive de una subcontratación,
o
cuando
así
lo
requiera
la
autoridad
DS5
competente.
Garantizar
seguridad
de
Brindar servicios satisfactorios de
terceros con transparencia acerca
de los beneficios, riesgos y costos.
la
los
sistemas.
Establecer
políticas
y
procedimientos para la gestión de
la seguridad de la información.
DS11 Administrar los
datos.
Optimizar el uso de la información
y garantizar la disponibilidad de la
información cuando se requiera.
Proteger los activos de cómputo y
DS12 Administrar el
la
información
del
negocio
ambiente físico.
minimizando el riesgo de una
interrupción del servicio.
SUBCONTRATACIONES
La
relación
entre
el
responsable
y
el
encargado deberá estar establecida mediante
48
cláusulas contractuales u otro instrumento
jurídico que decida el responsable, que
permita acreditar su existencia, alcance y
contenido.
Art. 51
Paso 7.
PO7.6 Procedimientos
Incluir
Implementación de
de Investigación del
antecedentes en el proceso de
Personal.
reclutamiento de TI.
las Medidas de
Seguridad
Aplicables a los
Datos Personales.
DS1
Definir
verificaciones
y
Asegurar
la
alineación
administrar los niveles
servicios
claves
de servicio.
estrategia del negocio.
de
TI
de
de
los
con
la
522
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Cumplimiento
Cotidiano de
DS2 Administrar los
Medidas de
servicios de terceros.
Brindar servicios satisfactorios de
terceros con transparencia acerca
de los beneficios, riesgos y costos.
Seguridad.
Toda subcontratación de servicios por parte
del encargado que implique el tratamiento
de datos personales deberá ser autorizada
DS1
por el responsable, y se realizará en nombre
y por cuenta de este último.
Una
vez
obtenida
la
autorización,
Paso 7.
el
Implementación de
encargado deberá formalizar la relación con
el
subcontratado
a
través
de
49
permita acreditar su existencia, alcance y
contenido.
En caso de que la subcontratación no haya
sido prevista en cláusulas contractuales, el
encargado deberá obtener la autorización
correspondiente
del
responsable
obligación
de
acreditar
que
Asegurar
la
alineación
administrar los niveles
servicios
claves
de servicio.
estrategia del negocio.
de
TI
de
los
con
la
Seguridad
Art. 54
Aplicables a los
Art. 55
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
previamente.
La
y
las Medidas de
cláusulas
contractuales u otro instrumento jurídico que
Definir
DS2 Administrar los
servicios de terceros.
Brindar servicios satisfactorios de
terceros con transparencia acerca
de los beneficios, riesgos y costos.
la
subcontratación se realizó con autorización
del responsable corresponderá al encargado.
CÓMPUTO EN LA NUBE
523
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Asegurar que los consultores y el
Para el tratamiento de datos personales en
servicios, aplicaciones e infraestructura en el
PO4.14
denominado cómputo en la nube, en los que
Políticas
Procedimientos
el responsable se adhiera a los mismos
y
para
Personal Contratado.
mediante condiciones o cláusulas generales
menos, con lo siguiente:
Paso 7.
Implementación de
a) Tener y aplicar políticas de protección de
las Medidas de
datos personales afines a los principios y
Seguridad
Reglamento;
Art. 52 - I
Aplicables a los
Datos Personales.
Cumplimiento
b) Transparentar las subcontrataciones que
Cotidiano de
involucren la información sobre la que se
Medidas de
presta el servicio;
Seguridad.
AI5.2
de
Administración
Contratos
organizacionales
de
los
activos
de
de
Formular un procedimiento para
establecer, modificar y concluir
contratos
DS1
para
todos
los
proveedores.
Identificación
Definir
de
requerimientos
y
de servicio, el acuerdo de niveles
administrar los niveles
de servicio y el monitoreo del
de servicio.
cumplimiento de los niveles de
servicio.
DS2 Administrar los
servicios de terceros.
DS5
prestación del servicio que le autoricen o
seguridad
permitan asumir la titularidad o propiedad de
sistemas.
y
con
Proveedores.
c) Abstenerse de incluir condiciones en la
la información sobre la que presta el servicio,
políticas
información de la empresa.
servicios en los que el proveedor cumpla, al
deberes aplicables que establece la Ley y su
la función de TI cumplan con las
protección
de contratación, sólo podrá utilizar aquellos
50
personal contratado que soporta
Garantizar
de
la
los
DS11 Administrar los
datos.
Brindar servicios satisfactorios de
terceros con transparencia acerca
de los beneficios, riesgos y costos
Establecer
políticas
y
procedimientos para la gestión de
la seguridad de la información.
Optimizar el uso de la información
y garantizar la disponibilidad de la
información cuando se requiera.
524
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
d) Guardar confidencialidad respecto de los
Proteger los activos de cómputo y
datos personales sobre los que se preste el
DS12 Administrar el
la
información
del
negocio
servicio.
ambiente físico.
minimizando el riesgo de una
interrupción del servicio
DS13 Administrar las
operaciones.
PO4.14
denominado cómputo en la nube, en los que
Paso 7.
mediante condiciones o cláusulas generales
para
Personal Contratado.
Seguridad
mecanismos, al menos, para:
Art. 52 - II
Aplicables a los
Datos Personales.
AI5.2
de
Administración
Contratos
con
Proveedores.
Medidas de
Seguridad.
la función de TI cumplan con las
políticas
organizacionales
de
los
activos
de
de
Formular un procedimiento para
establecer, modificar y concluir
contratos
Identificación
DS1
Definir
para
todos
los
proveedores.
Cumplimiento
Cotidiano de
personal contratado que soporta
información de la empresa.
de
requerimientos
y
de servicio, el acuerdo de niveles
administrar los niveles
de servicio y el monitoreo del
de servicio.
cumplimiento de los niveles de
tratamiento de los datos personales sobre los
que se presta el servicio;
procedimientos para la entrega de
protección
las Medidas de
servicios en los que el proveedor cuente con
b) Permitir al responsable limitar el tipo de
y
Implementación de
de contratación, sólo podrá utilizar aquellos
presta;
Políticas
Procedimientos
el responsable se adhiera a los mismos
privacidad o condiciones del servicio que
y
Asegurar que los consultores y el
servicios, aplicaciones e infraestructura en el
a) Dar a conocer cambios en sus políticas de
políticas
servicios de TI.
Para el tratamiento de datos personales en
51
Establecer
servicio.
DS2 Administrar los
Brindar servicios satisfactorios de
servicios de terceros.
terceros con transparencia acerca
525
N°
Requerimiento normativo
c)
Establecer
y
mantener
medidas
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
de
de los beneficios, riesgos y costos.
seguridad adecuadas para la protección de
DS5
los datos personales sobre los que se preste
seguridad
el servicio;
sistemas.
Garantizar
de
la
los
DS11 Administrar los
d) Garantizar la supresión de los datos
datos.
personales una vez que haya concluido el
servicio prestado al responsable, y que este
Establecer
políticas
y
procedimientos para la gestión de
la seguridad de la información.
Optimizar el uso de la información
y garantizar la disponibilidad de la
información cuando se requiera.
Proteger los activos de cómputo y
último haya podido recuperarlos, y
DS12 Administrar el
la
ambiente físico.
minimizando el riesgo de una
e) Impedir el acceso a los datos personales a
información
del
negocio
interrupción del servicio.
personas que no cuenten con privilegios de
acceso, o bien en caso de que sea a solicitud
fundada
y
competente,
motivada
informar
de
de
autoridad
ese
hecho
DS13 Administrar las
operaciones.
al
Establecer
políticas
y
procedimientos para la entrega de
servicios de TI.
responsable.
TRANSFERENCIAS
526
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Cuando el responsable pretenda transferir los
datos personales a terceros nacionales o
extranjeros, distintos del encargado, deberá
Paso 7.
comunicar a éstos el aviso de privacidad y las
Implementación de
finalidades a las que el titular sujetó su
las Medidas de
tratamiento.
52
El tratamiento de los datos se hará conforme
a lo convenido en el aviso de privacidad, el
cual contendrá una cláusula en la que se
indique
si
el
o
no
Art. 71
Aplicables a los
Art. 72
Datos Personales.
Art. 74
Cumplimiento
Cotidiano de
transferencia de sus datos, de igual manera,
Medidas de
el tercero receptor, asumirá las mismas
Seguridad.
que
acepta
Seguridad
la
obligaciones
titular
Art. 36
Art. 68
correspondan
DS11.6
Definir e implementar las políticas
Requerimientos
Seguridad
para
Administración
de
la
de
Datos.
y procedimientos para identificar y
aplicar
los
seguridad
requerimientos
aplicables
al
de
recibo,
procesamiento, almacén y salida
de los datos.
al
responsable que transfirió los datos.
Paso 7.
Para
efectos
transferencia,
de
demostrar
sea
ésta
que
la
nacional
o
Implementación de
las Medidas de
Seguridad
internacional, se realiza conforme a lo que
53
establece la Ley y su Reglamento, la carga de
la prueba recaerá, en todos los casos, en el
responsable que transfiere y en el receptor
de los datos personales.
Art. 69
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
Definir e implementar las políticas
DS11.6
Requerimientos
Seguridad
para
Administración
Datos.
de
la
de
y procedimientos para identificar y
aplicar
los
seguridad
requerimientos
aplicables
al
de
recibo,
procesamiento, almacén y salida
de los datos.
Medidas de
Seguridad.
527
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Definir e implementar las políticas
DS11.6
En
el
caso
de
transferencias
de
Requerimientos
datos
Seguridad
personales entre sociedades controladoras,
para
Administración
subsidiarias o afiliadas bajo el control común
de
la
de
Datos.
del mismo grupo del responsable, o a una
mismo grupo del responsable, el mecanismo
DS12.2
para garantizar que el receptor de los datos
Seguridad Física.
personales cumplirá con las disposiciones
Art. 70
previstas en la Ley, su Reglamento y demás
1. Recomendación
General
ME2
Medidas
Monitorear
normativa aplicable, podrá ser la existencia
Evaluar
de normas internas de protección de datos
Interno.
el
de
los
seguridad
requerimientos
aplicables
al
de
recibo,
procesamiento, almacén y salida
Definir e implementar medidas de
seguridad físicas alineadas con los
requerimientos del negocio.
y
Control
Monitorear y evaluar el control
interno en relación a los objetivos
de
negocio
y
a
los
riesgos
operativos identificados.
personales cuya observancia sea vinculante,
La identificación de todas las leyes
siempre y cuando éstas cumplan con lo
establecido en la Ley, su
aplicar
de los datos.
sociedad matriz o a cualquier sociedad del
54
y procedimientos para identificar y
Reglamento y
ME3
demás normativa aplicable.
Garantizar
el
Cumplimiento
y regulaciones aplicables y el nivel
correspondiente de cumplimiento
de TI y la optimización de los
Regulatorio.
procesos de TI para reducir el
riesgo de no cumplimiento.
La
55
transferencia
deberá
formalizarse
mediante algún mecanismo que permita
demostrar que el responsable transferente
Art. 73
Art. 75
Paso 7.
Implementación de
las Medidas de
DS1
Definir
y
Asegurar
la
alineación
administrar los niveles
servicios
claves
de servicio.
estrategia del negocio.
de
TI
de
los
con
la
528
N°
Requerimiento normativo
comunicó
al
responsable
receptor
las
condiciones en las que el titular consintió el
tratamiento de sus datos personales.
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Seguridad
Aplicables a los
Datos Personales.
Identificador y
nombre
Descripción
Objetivo de Control
DS2 Administrar los
servicios de terceros.
Brindar servicios satisfactorios de
terceros con transparencia acerca
de los beneficios, riesgos y costos.
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
Definir e implementar las políticas
DS11.6
Requerimientos
Seguridad
para
Administración
Datos.
de
la
de
y procedimientos para identificar y
aplicar
los
seguridad
requerimientos
aplicables
al
de
recibo,
procesamiento, almacén y salida
de los datos.
529
4.18 Control Objectives for Information and Related Technology (COBIT 5).
Introducción. COBIT 5 es un marco de referencia para la implementación del gobierno y gestión de los recursos de
Tecnología de la Información en las organizaciones. Su objetivo es proporcionar valor a la organización por medio de
un coste óptimo de recursos, a la vez que los riesgos son controlados. COBIT 5 toma en cuenta las versiones anteriores,
y añade mejoras en procesos, prácticas, actividades, métricas, y modelos de madurez principalmente.
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
RESPONSABLE
APO03 Administrar la
Arquitectura
1
de
licitud,
consentimiento,
información,
calidad, finalidad, lealtad, proporcionalidad y
responsabilidad, previstos en la Ley.
diferentes componentes de TI.
APO11 Gestionar
la
Calidad.
personales, deberán observar los principios
Art. 6
Art. 9
BAI06 Gestionar los
Cambios.
BAI07
Definir y comunicar los requisitos
de calidad en todos los procesos
de la organización.
1. Recomendación
General.
de una arquitectura que incluya
los procesos de negocio y los
Empresarial.
Los responsables en el tratamiento de datos
Conceptos para el establecimiento
de
procedimientos
políticas
para
y
la
administración de cambios.
Gestionar
Aceptación
Cambio
Definición
y
la
del
de
la
Formalizar la implementación de
cambio
a
través
de
procedimientos donde se incluya a
Transición.
los usuarios.
DSS01 Gestionar las
Establecer
políticas
y
530
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Operaciones.
procedimientos para la entrega de
servicios de TI.
Definición
DSS04
Gestionar
la
Continuidad.
de
políticas
y
procedimientos de gestión de la
continuidad así como planes de
contingencia
DSS05 Gestionar los
Establecer
Servicios
procedimientos para la gestión de
de
Seguridad.
políticas
y
la seguridad de la información.
DSS06 Gestionar los
Controles
de
los
Procesos
de
la
Empresa.
Criterios
para
la
definición
y
mantenimiento de controles a lo
largo de los procesos de negocio.
LICITUD Y LEALTAD
Los datos personales deberán recabarse y
DSS01.01
tratarse de manera lícita, privilegiando la
procedimientos
procedimientos y tareas operativas
protección de los intereses del titular y la
operativos.
de forma confiable y consistente.
expectativa
2
razonable
de
privacidad,
sin
importar la fuente de la que se obtienen los
datos.
Art. 7
Art. 7
Art. 10
Art. 44
Ejecutar
Mantener
y
ejecutar
Utilizar medidas de seguridad y
Paso 1. Alcance y
DSS05.02 Gestionar la
procedimientos
Objetivos.
seguridad de la red y
relacionados
las conexiones.
información en todos los modos
La obtención de datos personales no debe
de
para
gestión
proteger
la
de conexión.
hacerse a través de medios engañosos o
DSS05.03 Gestionar la
Asegurar
que
los
fraudulentos.
seguridad
usuario
final
se
de
los
puestos
de
encuentren
531
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
puestos
de
usuario
asegurados para evitar mal uso de
final.
la información.
DSS05.04 Gestionar la
Criterios para que los usuarios
identidad del usuario
tengan los derechos apropiados
y el acceso lógico.
de acceso a la información.
DSS05.05 Gestionar el
Criterios para que los usuarios
acceso
tengan los derechos apropiados
físico a
los
activos de TI.
DSS06.03
de acceso físico a la información.
Gestionar
roles,
Criterios para el establecimiento
responsabilidades,
de
privilegios de acceso
autorización
y
procesos de negocio.
niveles
de
niveles
de
acceso
dentro
de
y
los
autorización.
DSS06.06
los
Asegurar
activos
de
información.
Asegurar el acceso a los activos de
información
por
métodos
apropiados.
CONSENTIMIENTO
DSS01.01
El tratamiento de datos personales estará
sujeto al consentimiento de su titular, salvo
3
las excepciones previstas por la Ley.
Los
datos
financieros
o
patrimoniales
requerirán consentimiento expreso de su
Art. 11
Art. 8
Art. 12
Art. 15
Paso 2. Política de
Gestión de Datos
Personales.
Ejecutar
Mantener
y
ejecutar
procedimientos
procedimientos y tareas operativas
operativos.
de forma confiable y consistente.
DSS05.02 Gestionar la
Utilizar medidas de seguridad y
seguridad de la red y
procedimientos
las conexiones.
relacionados
para
de
gestión
proteger
532
la
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
titular.
información en todos los modos
de conexión.
Cuando los datos personales se obtengan
personalmente o de manera directa de su
DSS05.03 Gestionar la
Asegurar
que
los
titular, el consentimiento deberá ser previo al
seguridad
usuario
final
se
tratamiento.
puestos
de
de
los
usuario
puestos
de
encuentren
asegurados para evitar mal uso de
final.
la información.
DSS05.04 Gestionar la
Criterios para que los usuarios
identidad del usuario
tengan los derechos apropiados
y el acceso lógico.
de acceso a la información.
DSS05.05 Gestionar el
Criterios para que los usuarios
acceso
tengan los derechos apropiados
físico a
los
activos de TI.
DSS06.03
de acceso físico a la información.
Gestionar
roles,
Criterios para el establecimiento
responsabilidades,
de
privilegios de acceso
autorización
y
procesos de negocio.
niveles
de
niveles
de
dentro
acceso
de
y
los
autorización.
DSS06.06
los
El responsable
4
deberá
facilitar al titular
medios sencillos y gratuitos para manifestar
su consentimiento expreso.
Asegurar
activos
de
Asegurar el acceso a los activos de
información
información.
apropiados.
NO APLICA
NO APLICA
por
métodos
Paso 2. Política de
Art. 8
Art. 16
Gestión de Datos
Personales.
533
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
DSS01.01
Ejecutar
Mantener
y
ejecutar
procedimientos
procedimientos y tareas operativas
operativos.
de forma confiable y consistente.
Utilizar medidas de seguridad y
Tratándose de datos personales sensibles, el
responsable
deberá
obtener
para
su
tratamiento.
Paso 2. Política de
5
No podrán crearse bases de datos que
contengan datos personales sensibles, sin
que se justifique la creación de las mismas
para
finalidades
legítimas,
concretas
y
acordes con las actividades o fines explícitos
que persigue el sujeto regulado.
procedimientos
de
seguridad de la red y
relacionados
las conexiones.
información en todos los modos
para
gestión
proteger
la
de conexión.
el
consentimiento expreso y por escrito del
titular
DSS05.02 Gestionar la
Art. 9
Art. 56
Gestión de Datos
Personales.
DSS05.03 Gestionar la
Asegurar
que
los
seguridad
usuario
final
se
puestos
de
de
los
usuario
puestos
de
encuentren
asegurados para evitar mal uso de
final.
la información.
DSS05.04 Gestionar la
Criterios para que los usuarios
identidad del usuario
tengan los derechos apropiados
y el acceso lógico.
de acceso a la información.
DSS05.05 Gestionar el
Criterios para que los usuarios
acceso
tengan los derechos apropiados
físico a
los
activos de TI.
DSS06.03
de acceso físico a la información.
Gestionar
roles,
Criterios para el establecimiento
responsabilidades,
de
privilegios de acceso
autorización
y
procesos de negocio.
niveles
de
niveles
de
dentro
acceso
de
autorización.
534
y
los
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
DSS06.06
los
Asegurar
activos
de
Asegurar el acceso a los activos de
información
información.
apropiados.
NO APLICA
NO APLICA
por
métodos
Paso 7.
Implementación de
las Medidas de
Para efectos de demostrar la obtención del
6
consentimiento,
recaerá,
en
responsable.
la
todos
carga
los
de
la
casos,
prueba
en
el
Seguridad
Art. 20
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
INFORMACIÓN
535
N°
Requerimiento normativo
A
través
del
aviso
de
privacidad,
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
el
responsable tendrá la obligación de informar
a los titulares, los datos que recaba, las
finalidades necesarias y las que no lo son
para
la
relación
jurídica,
así
como
las
características principales de su tratamiento.
Art. 14
Cuando se traten datos personales como
7
parte de un proceso de toma de decisiones
Art. 15
sin que intervenga la valoración de una
persona
física,
el
responsable
Art. 23
Art. 112
Paso 2. Política de
Gestión de Datos
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Personales.
deberá
informar al titular que esta situación ocurre.
Si obtiene los datos de manera automática,
deberá informar al titular sobre el uso de
estas tecnologías y la forma en que podrá
deshabilitarlas.
Paso 7.
Implementación de
Cuando los datos personales sean obtenidos
directamente
8
del
titular,
el
aviso
las Medidas de
de
Seguridad
privacidad debe ponerse a disposición de los
Art. 3, I
titulares a través de formatos impresos,
Art. 17
Art. 27
Aplicables a los
Datos Personales.
digitales, visuales, sonoros o cualquier otra
Cumplimiento
tecnología.
Cotidiano de
Medidas de
Seguridad.
536
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
El aviso de privacidad
debe contener un
mecanismo,
el
para
que
titular
Implementación de
las Medidas de
pueda
manifestar su negativa al tratamiento de sus
9
datos
personales.
Cuando
los
datos
se
Art. 14
Art. 18
obtengan de manera indirecta del titular, el
Art. 29
Art. 32
responsable deberá darle a conocer el aviso
Seguridad
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Cumplimiento
Cotidiano de
de privacidad y sus cambios.
Medidas de
Seguridad
Paso 7.
Implementación de
las Medidas de
Para efectos de demostrar la puesta a
disposición
10
del
aviso
de
privacidad
Seguridad
en
cumplimiento del principio de información, la
Art. 31
carga de la prueba recaerá, en todos los
Aplicables a los
Datos Personales.
Cumplimiento
casos, en el responsable.
Cotidiano de
Medidas de
Seguridad.
CALIDAD
El responsable procurará que los datos
11
personales contenidos en las bases de datos
sean
exactos,
completos,
pertinentes,
Art. 11
Art. 36
Paso 2. Política de
APO03.02 Definir
Gestión de Datos
arquitectura
Personales.
referencia.
la
de
La
arquitectura
de
referencia
describe la situación actual y el
objetivo de la arquitectura para los
537
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
correctos y actualizados según se requiera
dominios
para el cumplimiento de la finalidad para la
datos, aplicaciones y tecnología.
cual son tratados.
APO01.06 Definir
la
propiedad
la
de
información (datos) y
del sistema.
APO11.02
Definir
gestionar
estándares,
y
los
procesos
y prácticas de calidad.
negocio,
Criterios para
información,
la definición de
dueños de información y de los
sistemas que la procesan.
Identificar
y
mantener
los
requisitos, normas, procedimientos
y prácticas de los procesos clave
para orientar a la organización en
el cumplimiento del SGC
Criterios
para
incorporar
las
APO11.05 Integrar la
prácticas pertinentes de gestión
gestión de la calidad
de la calidad en la definición,
en la implementación
supervisión, notificación y gestión
de
continua
soluciones
y
la
entrega de servicios.
soluciones
de
los
y
desarrollo
los
de
servicios
ofrecidos.
DSS01.01
Cuando los datos de carácter personal hayan
12
dejado
de
ser
necesarios
para
el
cumplimiento de las finalidades previstas por
Art. 3 III
Art. 11
Art. 37
Ejecutar
y
ejecutar
procedimientos
procedimientos y tareas operativas
operativos.
de forma confiable y consistente.
Paso 2. Política de
APO03.02 Definir
Gestión de Datos
arquitectura
Personales.
Mantener
referencia.
la
de
La
arquitectura
de
referencia
describe la situación actual y el
objetivo de la arquitectura para los
538
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
el aviso de privacidad y las disposiciones
dominios
legales aplicables, deberán ser cancelados,
datos, aplicaciones y tecnología.
previo bloqueo de los mismos.
Evaluar la adecuación del Plan de
DSS04.08
El responsable de la base de datos estará
revisiones
obligado a eliminar la información relativa al
incumplimiento
de
Ejecutar
Negocio
(BCP)
después
de
una
disrupción.
plazo de setenta y dos meses, contado a
DSS06.04
partir de la fecha calendario en que se
Gestionar
errores y excepciones.
presente el mencionado incumplimiento.
DSS05.06
Gestionar
documentos sensibles
y
dispositivos
de
salida.
y excepciones.
Criterios para la disponibilidad de
información sensible y el acceso a
medios de salida.
trazabilidad
los
información de negocio puede ser
y
rastreada hasta los responsables y
de
responsabilidades de
eventos
información.
originan.
los
Asegurar
activos
de
información.
Paso 2. Política de
proceso para la gestión de errores
Actividades para asegurar que la
DSS06.06
Art. 38
Criterios para la definición de un
DSS06.05 Asegurar la
eventos
El responsable establecerá y documentará
de
después de la reanudación exitosa
servicios
contractuales, una vez que transcurra un
13
Continuidad
información,
de los procesos de negocio y
postreanudación.
obligaciones
negocio,
APO03.02 Definir
de
negocio
que
la
Asegurar el acceso a los activos de
información
por
métodos
apropiados.
la
La
arquitectura
de
referencia
539
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
procedimientos para la conservación y, en su
Gestión de Datos
caso, bloqueo y supresión de los datos
Personales.
Identificador y
nombre
Descripción
Objetivo de Control
arquitectura
de
referencia.
describe la situación actual y el
objetivo de la arquitectura para los
personales.
dominios
negocio,
información,
datos, aplicaciones y tecnología.
Evaluar la adecuación del Plan de
DSS04.08
Ejecutar
revisiones
Continuidad
de
Negocio
(BCP)
después de la reanudación exitosa
de los procesos de negocio y
postreanudación.
servicios
después
de
una
disrupción.
DSS06.04
Gestionar
errores y excepciones.
DSS05.06
Gestionar
documentos sensibles
y
dispositivos
de
salida.
Criterios para la definición de un
proceso para la gestión de errores
y excepciones.
Criterios para la disponibilidad de
información sensible y el acceso a
medios de salida.
DSS06.05 Asegurar la
Actividades para asegurar que la
trazabilidad
los
información de negocio puede ser
y
rastreada hasta los responsables y
de
eventos
responsabilidades de
eventos
información.
originan.
DSS06.06
los
Asegurar
activos
de
de
negocio
que
la
Asegurar el acceso a los activos de
información
por
métodos
540
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
información.
apropiados.
DSS01.01
Ejecutar
Mantener
y
ejecutar
procedimientos
procedimientos y tareas operativas
operativos.
de forma confiable y consistente.
Utilizar medidas de seguridad y
DSS05.02 Gestionar la
procedimientos
de
seguridad de la red y
relacionados
las conexiones.
información en todos los modos
para
gestión
proteger
la
de conexión.
DSS05.03 Gestionar la
Asegurar
que
los
seguridad
usuario
final
se
puestos
de
de
los
usuario
puestos
de
encuentren
asegurados para evitar mal uso de
final.
la información.
DSS05.04 Gestionar la
Criterios para que los usuarios
identidad del usuario
tengan los derechos apropiados
y el acceso lógico.
de acceso a la información.
DSS05.05 Gestionar el
Criterios para que los usuarios
acceso
tengan los derechos apropiados
físico a
los
activos de TI.
DSS06.03
de acceso físico a la información.
Gestionar
roles,
de
responsabilidades,
privilegios de acceso
y
niveles
Criterios para el establecimiento
de
niveles
autorización
de
dentro
acceso
de
procesos de negocio.
541
y
los
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
autorización.
La
APO03.02 Definir
arquitectura
arquitectura
de
referencia
la
describe la situación actual y el
de
objetivo de la arquitectura para los
referencia.
dominios
negocio,
información,
datos, aplicaciones y tecnología.
Evaluar la adecuación del Plan de
Paso 7.
Implementación de
las Medidas de
Seguridad
Al responsable le corresponde demostrar que
14
los datos personales se conservan, o en su
caso, bloquean, suprimen o cancelan.
Art. 39
Aplicables a los
DSS04.08
Ejecutar
revisiones
Cotidiano de
Medidas de
Seguridad.
de
Negocio
(BCP)
después de la reanudación exitosa
de los procesos de negocio y
postreanudación.
servicios
después
de
una
disrupción.
Datos Personales.
Cumplimiento
Continuidad
DSS06.04
Gestionar
errores y excepciones.
DSS05.06
Gestionar
documentos sensibles
y
dispositivos
de
salida.
Criterios para la definición de un
proceso para la gestión de errores
y excepciones.
Criterios para la disponibilidad de
información sensible y el acceso a
medios de salida.
DSS06.05 Asegurar la
Actividades para asegurar que la
trazabilidad
información de negocio puede ser
de
los
542
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
eventos
y
rastreada hasta los responsables y
responsabilidades de
eventos
información.
originan.
DSS06.06
los
Asegurar
activos
de
información.
DSS01.01
de
negocio
que
la
Asegurar el acceso a los activos de
información
por
métodos
apropiados.
Ejecutar
Mantener
y
ejecutar
procedimientos
procedimientos y tareas operativas
operativos.
de forma confiable y consistente.
Utilizar medidas de seguridad y
DSS05.02 Gestionar la
procedimientos
de
seguridad de la red y
relacionados
las conexiones.
información en todos los modos
para
gestión
proteger
la
de conexión.
DSS05.03 Gestionar la
Asegurar
que
los
seguridad
usuario
final
se
puestos
de
de
los
usuario
puestos
de
encuentren
asegurados para evitar mal uso de
final.
la información.
DSS05.04 Gestionar la
Criterios para que los usuarios
identidad del usuario
tengan los derechos apropiados
y el acceso lógico.
de acceso a la información.
DSS05.05 Gestionar el
Criterios para que los usuarios
acceso
tengan los derechos apropiados
físico a
activos de TI.
los
de acceso físico a la información.
543
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
DSS06.03
Gestionar
roles,
Criterios para el establecimiento
responsabilidades,
de
privilegios de acceso
autorización
y
procesos de negocio.
niveles
de
niveles
de
acceso
dentro
de
y
los
autorización.
FINALIDAD
DSS01.01
El tratamiento de datos personales deberá
Ejecutar
y
ejecutar
procedimientos
procedimientos y tareas operativas
operativos.
de forma confiable y consistente.
Utilizar medidas de seguridad y
limitarse al cumplimiento de las finalidades
previstas en el aviso de privacidad.
DSS05.02 Gestionar la
procedimientos
Si el responsable pretende tratar los datos
seguridad de la red y
relacionados
para un fin distinto al establecido, deberá
las conexiones.
información en todos los modos
obtener nuevamente el consentimiento del
15
Mantener
titular.
Art. 12
Art. 40
Paso 2. Política de
Art. 42
Gestión de Datos
Art. 43
Personales.
de
para
gestión
proteger
la
de conexión.
DSS05.03 Gestionar la
Asegurar
que
los
seguridad
usuario
final
se
de
de
los
usuario
puestos
de
encuentren
El titular podrá oponerse o revocar su
puestos
consentimiento para las finalidades distintas
final.
la información.
a las que dieron origen a la relación jurídica,
DSS05.04 Gestionar la
Criterios para que los usuarios
sin que ello tenga como consecuencia la
identidad del usuario
tengan los derechos apropiados
conclusión del tratamiento.
y el acceso lógico.
de acceso a la información.
DSS05.05 Gestionar el
Criterios para que los usuarios
acceso
tengan los derechos apropiados
físico a
los
asegurados para evitar mal uso de
544
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
activos de TI.
DSS06.03
de acceso físico a la información.
Gestionar
roles,
Criterios para el establecimiento
responsabilidades,
de
privilegios de acceso
autorización
y
procesos de negocio.
niveles
de
niveles
de
acceso
dentro
de
y
los
autorización.
DSS06.06
los
Asegurar
activos
de
información.
Asegurar el acceso a los activos de
información
por
métodos
apropiados.
PROPORCIONALIDAD
DSS01.01
Ejecutar
en relación con las finalidades previstas en el
personales sensibles, el responsable deberá
ejecutar
procedimientos y tareas operativas
operativos.
de forma confiable y consistente.
Utilizar medidas de seguridad y
DSS05.02 Gestionar la
procedimientos
Paso 2. Política de
seguridad de la red y
relacionados
Gestión de Datos
las conexiones.
información en todos los modos
que resulte necesario, adecuado y relevante
aviso de privacidad. En particular para datos
y
procedimientos
El tratamiento de datos personales será el
16
Mantener
Art. 13
Art. 45
Art. 46
de
para
gestión
proteger
la
de conexión.
Personales.
limitar el periodo de tratamiento al mínimo
DSS05.03 Gestionar la
Asegurar
que
los
indispensable.
seguridad
usuario
final
se
puestos
de
de
los
usuario
puestos
de
encuentren
asegurados para evitar mal uso de
final.
la información.
DSS05.04 Gestionar la
Criterios para que los usuarios
545
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
identidad del usuario
tengan los derechos apropiados
y el acceso lógico.
de acceso a la información.
DSS05.05 Gestionar el
Criterios para que los usuarios
acceso
tengan los derechos apropiados
físico a
los
activos de TI.
DSS06.03
de acceso físico a la información.
Gestionar
roles,
Criterios para el establecimiento
responsabilidades,
de
privilegios de acceso
autorización
y
procesos de negocio.
niveles
de
niveles
de
acceso
dentro
de
y
los
autorización.
DSS06.06
los
Asegurar
activos
de
información.
Asegurar el acceso a los activos de
información
por
métodos
apropiados.
CONFIDENCIALIDAD
APO07.06
17
El responsable o terceros que intervengan en
el
cualquier fase del tratamiento de datos
contratado.
personales deberán guardar confidencialidad
respecto de éstos, obligación que subsistirá
aun después de finalizar sus relaciones con el
titular o, en su caso, con el responsable.
Paso 2. Política de
Art. 21
Art. 9
Gestión de Datos
Personales.
Gestionar
personal
APO01.01 Definir
Monitorear
que
el
personal
contratado tiene las capacidades
necesarias
y
cumple
con
las
políticas de la organización.
la
Criterios para la definición de una
estructura
estructura
que
organizativa.
necesidades de la organización.
APO09 Gestionar los
Criterios
Acuerdos de Servicio.
control
para
de
el
los
cubra
monitoreo
acuerdos
546
las
y
de
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
servicio.
APO10 Gestionar los
Proveedores.
Criterios para la administración de
proveedores de acuerdo a las
necesidades de negocio.
RESPONSABILIDAD
APO03 Administrar la
Arquitectura
diferentes componentes de TI.
El responsable tiene la obligación de velar y
responder por el tratamiento de los datos
APO11 Gestionar
personales en su posesión, debiendo adoptar
Calidad.
la
necesarias y suficientes para garantizar que el
aviso de privacidad dado a conocer al titular,
sea respetado en todo momento por él o
por terceros con los que guarde alguna
relación jurídica.
Art. 14
Art. 47
Paso 2. Política de
BAI06 Gestionar los
Gestión de Datos
Cambios.
Personales.
BAI07
Definir y comunicar los requisitos
de calidad en todos los procesos
de la organización.
las medidas necesarias.
El responsable deberá tomar las medidas
de una arquitectura que incluya
los procesos de negocio y los
Empresarial.
18
Conceptos para el establecimiento
de
políticas
procedimientos
para
y
la
administración de cambios.
Gestionar
Aceptación
Cambio
Definición
y
la
del
de
la
Transición.
APO09 Gestionar los
Acuerdos de Servicio.
APO10 Gestionar los
Formalizar la implementación de
cambio
a
través
de
procedimientos donde se incluya a
los usuarios.
Criterios
control
para
de
el
los
monitoreo
acuerdos
y
de
servicio.
Criterios para la administración de
547
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Proveedores.
proveedores de acuerdo a las
necesidades de negocio.
DSS01 Gestionar las
Operaciones.
Establecer
políticas
procedimientos para la entrega de
servicios de TI.
Definición
DSS04
y
Gestionar
la
Continuidad.
de
políticas
y
procedimientos de gestión de la
continuidad así como planes de
contingencia
DSS05 Gestionar los
Establecer
Servicios
procedimientos para la gestión de
de
Seguridad.
Controles
de
los
Procesos
de
la
Empresa.
APO11 Gestionar
19
Paso 5. Realizar el
para
Análisis de Riesgo
garantizar
el
debido
tratamiento,
privilegiando los intereses del titular y la
expectativa razonable de privacidad.
Art. 14
Art. 48
de los Datos
Personales.
y
la seguridad de la información.
DSS06 Gestionar los
Los responsables deberán adoptar medidas
políticas
la
Calidad.
Criterios
para
la
definición
y
mantenimiento de controles a lo
largo de los procesos de negocio.
Definir y comunicar los requisitos
de calidad en todos los procesos
de la organización.
Identificar, evaluar y reducir los
APO12 Gestionar el
riesgos relacionados con TI de
Riesgo.
forma continua, dentro de niveles
de tolerancia establecidos por la
548
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
dirección ejecutiva de la empresa.
Identificar, documentar, priorizar y
BAI02.03
los
Gestionar
riesgos
de
los
requerimientos.
mitigar los riesgos funcionales y
técnicos relativos a procesamiento
de la información y asociados con
los requerimientos de la empresa.
DSS05 Gestionar los
Establecer
Servicios
procedimientos para la gestión de
de
Seguridad.
DSS01.01
políticas
y
la seguridad de la información.
Ejecutar
Mantener
y
ejecutar
procedimientos
procedimientos y tareas operativas
operativos.
de forma confiable y consistente.
Utilizar medidas de seguridad y
DSS05.02 Gestionar la
procedimientos
de
seguridad de la red y
relacionados
las conexiones.
información en todos los modos
para
gestión
proteger
la
de conexión.
DSS05.03 Gestionar la
Asegurar
que
los
seguridad
usuario
final
se
puestos
de
de
los
usuario
puestos
de
encuentren
asegurados para evitar mal uso de
final.
la información.
DSS05.04 Gestionar la
Criterios para que los usuarios
identidad del usuario
tengan los derechos apropiados
y el acceso lógico.
de acceso a la información.
549
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
DSS05.05 Gestionar el
Criterios para que los usuarios
acceso
tengan los derechos apropiados
físico a
los
activos de TI.
DSS06.03
de acceso físico a la información.
Gestionar
roles,
Criterios para el establecimiento
responsabilidades,
de
privilegios de acceso
autorización
y
procesos de negocio.
niveles
de
niveles
de
acceso
dentro
de
y
los
autorización.
DSS06.06
los
Asegurar
activos
de
información.
Asegurar el acceso a los activos de
información
Controles
de
los
Procesos
de
la
Empresa.
Criterios
20
obligatorios y exigibles al interior de la
organización.
Art. 48 - I
Gestión de Datos
Personales.
para
la
definición
y
mantenimiento de controles a lo
largo de los procesos de negocio.
Orientar
Paso 2. Política de
métodos
apropiados.
DSS06 Gestionar los
Elaborar políticas y programas de privacidad
por
el
establecimiento
de
EDM03.02 Orientar la
prácticas de gestión de riesgos a
gestión de riesgos.
asegurar que no se exceda el
apetito del riesgo.
APO01.03
los
Mantener
Actividades para el mantenimiento
elementos
de elementos catalizadores dentro
catalizadores
sistema de gestión.
del
de
los
objetivos
de
organización.
550
la
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
APO13.02
Definir
y
gestionar un plan de
Criterios para
la definición de
tratamiento del riesgo
actividades
de la seguridad de la
riesgos de seguridad.
de
tratamiento
de
información.
APO07.03
las
Mantener
habilidades
competencias
y
del
Actividades para el entrenamiento
continuo del personal.
personal.
Poner
21
en
práctica
un
programa
de
capacitación, actualización, y concientización
del
personal
sobre
las
obligaciones
en
Paso 9. Mejora
Art. 48 - II
materia de protección de datos personales.
Continua y
Capacitación.
Capacitación.
APO13.02
Definir
y
gestionar un plan de
tratamiento del riesgo
de la seguridad de la
Criterios para la definición del plan
de tratamiento de riesgos.
información.
Criterios para la gestión de RH
APO07 Gestionar los
respecto
a
sus
habilidades,
Recursos Humanos.
capacidades, y responsabilidades
dentro de la organización.
APO11.04
Establecer
22
un
sistema
de
supervisión
y
vigilancia interna, verificaciones o auditorías
externas para comprobar el cumplimiento de
las políticas de privacidad.
Art. 48 - III
Paso 8. Revisiones y
Auditoría.
Supervisar
Actividades
y hacer controles y
monitorear
revisiones de calidad.
calidad implementados.
DSS05.07
Actividades para la detección de
Supervisar
para
los
la infraestructura para
intrusiones,
detectar
infraestructura
eventos
planear
controles
supervisar
para
y
de
la
detectar
551
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
relacionados
con
la
seguridad.
accesos no autorizados y asegurar
que
cualquier
evento
esté
contemplado.
MEA02
Supervisar,
Evaluar y Valorar el
Sistema
de
Control
Interno.
Paso 3. Establecer
23
Destinar recursos para la instrumentación de
los programas y políticas de privacidad.
Funciones y
Art. 48 - IV
Obligaciones de
Quienes Traten
Datos Personales.
Actividades
para
el
monitoreo
periódico del ambiente de control
interno.
APO13.01 Establecer y
Criterios para el establecimiento y
mantener un SGSI.
mantenimiento de un SGSI.
APO13.02
Definir
y
gestionar un plan de
tratamiento del riesgo
de la seguridad de la
Criterios para la definición del plan
de tratamiento de riesgos.
información.
APO13.03
Supervisar
y revisar el SGSI.
Criterios para la supervisión y
revisión del sistema de gestión por
parte de la Dirección.
Identificar, evaluar y reducir los
Instrumentar un procedimiento para que se
atienda el riesgo para la protección de datos
24
personales por la implementación de nuevos
productos, servicios, tecnologías y modelos
de negocios, así como para mitigarlos.
Art. 48 - V
Paso 5. Realizar el
APO12 Gestionar el
Análisis de Riesgo
Riesgo.
forma continua, dentro de niveles
de tolerancia establecidos por la
de los Datos
Personales.
riesgos relacionados con TI de
dirección ejecutiva de la empresa.
BAI02.03
los
riesgos
Gestionar
de
los
Identificar, documentar, priorizar y
mitigar los riesgos funcionales y
552
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
requerimientos.
técnicos relativos a procesamiento
de la información y asociados con
los requerimientos de la empresa.
APO13.01 Establecer y
Criterios para el establecimiento y
mantener un SGSI.
mantenimiento de un SGSI.
APO13.02
Definir
y
gestionar un plan de
tratamiento del riesgo
de la seguridad de la
Criterios para la definición del plan
de tratamiento de riesgos.
información.
APO13.03
Supervisar
y revisar el SGSI.
DSS01.01
Criterios para la supervisión y
revisión del sistema de gestión por
parte de la Dirección.
Ejecutar
Mantener
y
ejecutar
procedimientos
procedimientos y tareas operativas
operativos.
de forma confiable y consistente.
Utilizar medidas de seguridad y
DSS05.02 Gestionar la
procedimientos
de
seguridad de la red y
relacionados
las conexiones.
información en todos los modos
para
gestión
proteger
la
de conexión.
DSS05.03 Gestionar la
Asegurar
que
los
seguridad
usuario
final
se
puestos
de
de
los
usuario
puestos
de
encuentren
asegurados para evitar mal uso de
553
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
final.
la información.
DSS05.04 Gestionar la
Criterios para que los usuarios
identidad del usuario
tengan los derechos apropiados
y el acceso lógico.
de acceso a la información.
DSS05.05 Gestionar el
Criterios para que los usuarios
acceso
tengan los derechos apropiados
físico a
los
activos de TI.
DSS06.03
de acceso físico a la información.
Gestionar
roles,
Criterios para el establecimiento
responsabilidades,
de
privilegios de acceso
autorización
y
procesos de negocio.
niveles
de
niveles
de
acceso
dentro
de
y
los
autorización.
DSS06.06
los
Asegurar
activos
de
información.
MEA03
Asegurar el acceso a los activos de
información
por
métodos
apropiados.
Supervisar,
Evaluar y Valorar la
Actividades para el monitoreo del
Conformidad con los
cumplimiento regulatorio, legal y
Requerimientos
contractual.
Externos.
Revisar
25
periódicamente
las
políticas
y
programas de seguridad para determinar las
modificaciones que se requieran.
Art. 48 - VI
Paso 8. Revisiones y
Auditoría.
APO11.04
Supervisar
Actividades
para
y hacer controles y
monitorear
revisiones de calidad.
calidad implementados.
los
planear
controles
554
y
de
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
APO13.02
Definir
y
gestionar un plan de
tratamiento del riesgo
de la seguridad de la
Criterios para la definición del plan
de tratamiento de riesgos.
información.
MEA02
Supervisar,
Evaluar y Valorar el
Sistema
de
Control
Interno.
Paso 7.
Implementación de
las Medidas de
Establecer
26
procedimientos
para
recibir
y
responder dudas y quejas de los titulares de
los datos personales.
Seguridad
Art. 48 - VII
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
Actividades
para
el
monitoreo
periódico del ambiente de control
interno.
DSS02.01
Definir
esquemas
de
Criterios para la definición de la
clasificación
de
clasificación
incidentes
y
de
incidentes
y
solicitudes de servicio.
peticiones de servicio.
DSS02.02
clasificar
Registrar,
y
priorizar
peticiones
e
Procedimientos para el registro y
gestión de incidentes.
incidentes.
DSS02.03
aprobar
Verificar,
y
resolver
Actividades
y
métodos
aprobar y solucionar incidentes y
peticiones de servicio.
peticiones de servicio.
DSS02.04
Procedimientos
Investigar,
diagnosticar
localizar incidentes.
y
para
diagnóstico,
localización
para
el
investigación
de
incidentes
555
y
de
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
seguridad.
DSS02.05 Resolver y
recuperarse
de
incidentes.
y
recuperación
afectados
de
por
servicios
incidentes
de
el
de
seguridad.
DSS02.06
Cerrar
peticiones de servicio
e incidentes.
APO13.02
Procedimientos para la resolución
Definir
Criterios
para
cierre
incidentes y solicitudes de servicio.
y
gestionar un plan de
tratamiento del riesgo
de la seguridad de la
Criterios para la definición del plan
de tratamiento de riesgos.
información.
Disponer
27
de
mecanismos
para
el
cumplimiento de las políticas y programas de
privacidad, así como de sanciones por su
incumplimiento.
Paso 3. Funciones y
Art. 48 - VIII
Obligaciones de
Quienes Traten
Datos Personales.
DSS05.07
Supervisar
la infraestructura para
detectar
eventos
relacionados
con
la
seguridad.
Actividades para la detección de
intrusiones,
supervisar
infraestructura
para
la
detectar
accesos no autorizados y asegurar
que
cualquier
evento
esté
contemplado.
DSS02.01
Definir
esquemas
de
Criterios para la definición de la
clasificación
de
clasificación
incidentes
y
de
incidentes
solicitudes de servicio.
peticiones de servicio.
556
y
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
La
APO03.02 Definir
arquitectura
arquitectura
de
referencia
la
describe la situación actual y el
de
objetivo de la arquitectura para los
referencia.
dominios
negocio,
información,
datos, aplicaciones y tecnología.
Guías
Establecer medidas para el aseguramiento de
Paso 6.
los datos personales, es decir, un conjunto
28
de acciones técnicas y administrativas que
permitan garantizar al responsable el
cumplimiento de los principios y obligaciones
que establece la Ley y su Reglamento.
Identificación de las
Art. 48 - IX
medidas de
seguridad y Análisis
de Brecha.
de
los
proyectos,
APO03.05 Proveer los
formalización de las maneras de
servicios
trabajar mediante los contratos de
de
arquitectura
arquitectura,
empresarial.
comunicación
la
de
medición
los
y
valores
aportados por la arquitectura.
APO01.06 Definir
la
propiedad
la
de
información (datos) y
del sistema.
Criterios para
dueños de información y de los
sistemas que la procesan.
Criterios
BAI03.01
soluciones
Diseñar
de
alto
nivel.
la definición de
para
desarrollar
y
documentar diseños de alto nivel
usando técnicas de desarrollo ágil
o
por
fases
apropiadas
y
acordadas.
BAI03.02 Diseñar los
componentes
detallados
solución.
de
la
Criterios para la elaboración de
diseños progresivos considerando
todos los componentes.
557
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Criterios
para
componentes
BAI03.03
desarrollar
de
la
los
solución
Desarrollar
conforme el diseño siguiendo los
los componentes de
métodos de desarrollo, estándares
la solución.
de documentación, requerimientos
de calidad (QA) y estándares de
aprobación.
Criterios para la construcción de
BAI03.05
Construir
soluciones.
soluciones e integrarlas con los
procesos de negocio, seguridad y
auditabilidad.
DSS02.03
aprobar
Verificar,
y
resolver
Actividades
y
métodos
para
aprobar y solucionar incidentes y
peticiones de servicio.
peticiones de servicio.
DSS05 Gestionar los
Establecer
Servicios
procedimientos para la gestión de
de
Seguridad.
DSS01.01
políticas
y
la seguridad de la información.
Ejecutar
Mantener
y
ejecutar
procedimientos
procedimientos y tareas operativas
operativos.
de forma confiable y consistente.
DSS05.02 Gestionar la
seguridad de la red y
las conexiones.
Utilizar medidas de seguridad y
procedimientos
relacionados
para
de
gestión
proteger
la
información en todos los modos
558
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
de conexión.
DSS05.03 Gestionar la
Asegurar
que
los
seguridad
usuario
final
se
puestos
de
de
los
usuario
puestos
de
encuentren
asegurados para evitar mal uso de
final.
la información.
DSS05.04 Gestionar la
Criterios para que los usuarios
identidad del usuario
tengan los derechos apropiados
y el acceso lógico.
de acceso a la información.
DSS05.05 Gestionar el
Criterios para que los usuarios
acceso
tengan los derechos apropiados
físico a
los
activos de TI.
DSS06.03
de acceso físico a la información.
Gestionar
roles,
Criterios para el establecimiento
responsabilidades,
de
privilegios de acceso
autorización
y
procesos de negocio.
niveles
de
niveles
de
dentro
acceso
de
y
los
autorización.
DSS06.06
los
Asegurar
activos
de
información.
Establecer medidas para la trazabilidad de los
29
datos personales, es decir acciones, medidas
y procedimientos técnicos que
permiten
rastrear a los datos personales durante su
Identificación de las
medidas de
seguridad y Análisis
información
por
métodos
apropiados.
Paso 6.
Art. 48 - X
Asegurar el acceso a los activos de
Criterios para la construcción de
BAI03.05
soluciones.
Construir
soluciones e integrarlas con los
procesos de negocio, seguridad y
auditabilidad.
559
N°
Requerimiento normativo
tratamiento.
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
de Brecha.
Identificador y
nombre
Descripción
Objetivo de Control
APO13.01 Establecer y
Criterios para el establecimiento y
mantener un SGSI.
mantenimiento de un SGSI.
APO13.03
Supervisar
y revisar el SGSI.
DSS01.01
Criterios para la supervisión y
revisión del sistema de gestión por
parte de la Dirección.
Ejecutar
Mantener
y
ejecutar
procedimientos
procedimientos y tareas operativas
operativos.
de forma confiable y consistente.
Utilizar medidas de seguridad y
DSS05.02 Gestionar la
procedimientos
de
seguridad de la red y
relacionados
las conexiones.
información en todos los modos
para
gestión
proteger
la
de conexión.
DSS05.03 Gestionar la
Asegurar
que
los
seguridad
usuario
final
se
puestos
de
de
los
usuario
puestos
de
encuentren
asegurados para evitar mal uso de
final.
la información.
DSS05.04 Gestionar la
Criterios para que los usuarios
identidad del usuario
tengan los derechos apropiados
y el acceso lógico.
de acceso a la información.
DSS05.05 Gestionar el
Criterios para que los usuarios
acceso
tengan los derechos apropiados
físico a
los
activos de TI.
de acceso físico a la información.
DSS06.03
Criterios para el establecimiento
Gestionar
560
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
roles,
de
responsabilidades,
autorización
privilegios de acceso
procesos de negocio.
y
niveles
niveles
de
acceso
dentro
de
y
los
de
autorización.
DSS06.06
los
Paso 7.
Implementación de
Todo responsable deberá designar a una
persona,
o
personales,
30
departamento
quien
dará
de
a
de
información
por
métodos
información.
apropiados.
APO13.01 Establecer y
Criterios para el establecimiento y
mantener un SGSI.
mantenimiento de un SGSI.
Seguridad
las
solicitudes de los titulares, para el ejercicio
activos
Asegurar el acceso a los activos de
las Medidas de
datos
trámite
Asegurar
Aplicables a los
Art. 30
Datos Personales.
de los derechos a que se refiere la Ley.
Cumplimiento
Asimismo fomentará la protección de datos
APO13.03
Supervisar
y revisar el SGSI.
revisión del sistema de gestión por
parte de la Dirección.
Cotidiano de
personales al interior de la organización.
Criterios para la supervisión y
Medidas de
Seguridad.
SEGURIDAD
Todo
responsable
tratamiento
31
de
que
datos
lleve
a
personales
cabo
deberá
establecer y mantener medidas de seguridad
administrativas,
permitan
técnicas
proteger
los
y
datos
físicas
que
personales
La
Paso 6.
Art. 19
Art. 4
Identificación de las
Art. 9
medidas de
Art. 57
seguridad y Análisis
de Brecha.
APO03.02 Definir
arquitectura
referencia.
arquitectura
de
referencia
la
describe la situación actual y el
de
objetivo de la arquitectura para los
dominios
negocio,
información,
datos, aplicaciones y tecnología.
561
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
contra daño, pérdida, alteración, destrucción
o el uso, acceso o tratamiento no autorizado.
Identificar, documentar, priorizar y
BAI02.03
los
No
adoptarán
medidas
de
seguridad
Gestionar
riesgos
de
los
requerimientos.
mitigar los riesgos funcionales y
técnicos relativos a procesamiento
de la información y asociados con
menores a aquellas que mantengan para el
los requerimientos de la empresa.
manejo de su información.
Cuando el encargado se encuentre ubicado
en territorio mexicano, le serán aplicables las
disposiciones relativas a las medidas de
DSS02.03
aprobar
Verificar,
y
los
procedimientos
adecuados
para
peticiones
y
resolver
verificar que las peticiones de
peticiones de servicio.
servicio cumplen los criterios de
petición definidos.
seguridad contenidas en el Capítulo III de
Reglamento.
Seleccionar
DSS05 Gestionar los
Establecer
Servicios
procedimientos para la gestión de
de
Seguridad.
DSS01.01
políticas
y
la seguridad de la información.
Ejecutar
Mantener
y
ejecutar
procedimientos
procedimientos y tareas operativas
operativos.
de forma confiable y consistente.
Utilizar medidas de seguridad y
DSS05.02 Gestionar la
procedimientos
seguridad de la red y
relacionados
las conexiones.
información en todos los modos
para
de
gestión
proteger
de conexión.
562
la
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
DSS05.03 Gestionar la
Asegurar
que
los
seguridad
usuario
final
se
puestos
de
de
los
usuario
puestos
de
encuentren
asegurados para evitar mal uso de
final.
la información.
DSS05.04 Gestionar la
Criterios para que los usuarios
identidad del usuario
tengan los derechos apropiados
y el acceso lógico.
de acceso a la información.
DSS05.05 Gestionar el
Criterios para que los usuarios
acceso
tengan los derechos apropiados
físico a
los
activos de TI.
DSS06.03
de acceso físico a la información.
Gestionar
roles,
Criterios para el establecimiento
responsabilidades,
de
privilegios de acceso
autorización
y
procesos de negocio.
niveles
de
niveles
de
acceso
dentro
de
y
los
autorización.
DSS06.06
los
Asegurar
activos
de
Asegurar el acceso a los activos de
información
por
métodos
información.
apropiados.
DSS06 Gestionar los
Criterios
Controles
mantenimiento de controles a lo
de
los
para
la
definición
563
y
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Procesos
de
la
largo de los procesos de negocio.
Empresa.
Identificar, evaluar y reducir los
El responsable determinará las medidas de
seguridad aplicables a los datos personales
APO12 Gestionar el
que trate, considerando el riesgo existente,
Riesgo.
dirección ejecutiva de la empresa.
la sensibilidad de los datos y el desarrollo
Identificar, documentar, priorizar y
tecnológico.
manera
BAI02.03
adicional,
el
los
responsable
elementos:
I. El número de titulares;
Art. 19
II. Las vulnerabilidades previas ocurridas en
los sistemas de tratamiento;
III.
El
riesgo
por
el
valor
potencial
cuantitativo o cualitativo que pudieran tener
los datos personales tratados para una
tercera
persona
no
autorizada
para
su
posesión, y
IV. Demás factores que puedan incidir en el
nivel de riesgo o que resulten de otras leyes
o regulación aplicable al responsable.
Gestionar
riesgos
de
los
requerimientos.
procurará tomar en cuenta los siguientes
32
forma continua, dentro de niveles
de tolerancia establecidos por la
las posibles consecuencias para los titulares,
De
riesgos relacionados con TI de
Art. 60
mitigar los riesgos funcionales y
técnicos relativos a procesamiento
de la información y asociados con
Paso 5. Realizar el
los requerimientos de la empresa.
Análisis de Riesgo
Criterios
de los Datos
Personales.
BAI03.01
soluciones
Diseñar
de
alto
nivel.
para
desarrollar
y
documentar diseños de alto nivel
usando técnicas de desarrollo ágil
o
por
fases
apropiadas
y
acordadas.
BAI03.02 Diseñar los
componentes
detallados
de
la
solución.
BAI03.03
Desarrollar
Criterios para la elaboración de
diseños progresivos considerando
todos los componentes.
Criterios
para
desarrollar
de
la
los
los componentes de
componentes
solución
la solución.
conforme el diseño siguiendo los
564
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
métodos de desarrollo, estándares
de documentación, requerimientos
de calidad (QA) y estándares de
aprobación.
Criterios para la construcción de
BAI03.05
Construir
soluciones.
soluciones e integrarlas con los
procesos de negocio, seguridad y
auditabilidad.
APO13.02
Definir
y
gestionar un plan de
Criterios para
la definición de
tratamiento del riesgo
actividades
de la seguridad de la
riesgos de seguridad.
de
tratamiento
de
información.
DSS01.01
Ejecutar
Mantener
y
ejecutar
procedimientos
procedimientos y tareas operativas
operativos.
de forma confiable y consistente.
Utilizar medidas de seguridad y
DSS05.02 Gestionar la
procedimientos
de
seguridad de la red y
relacionados
las conexiones.
información en todos los modos
para
gestión
proteger
la
de conexión.
DSS05.03 Gestionar la
Asegurar
que
los
seguridad
usuario
final
se
puestos
de
de
los
usuario
puestos
de
encuentren
asegurados para evitar mal uso de
565
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
final.
la información.
DSS05.04 Gestionar la
Criterios para que los usuarios
identidad del usuario
tengan los derechos apropiados
y el acceso lógico.
de acceso a la información.
DSS05.05 Gestionar el
Criterios para que los usuarios
acceso
tengan los derechos apropiados
físico a
los
activos de TI.
DSS06.03
de acceso físico a la información.
Gestionar
roles,
Criterios para el establecimiento
responsabilidades,
de
privilegios de acceso
autorización
y
procesos de negocio.
niveles
de
niveles
de
acceso
dentro
de
y
los
autorización.
DSS06.06
los
Asegurar
activos
de
información.
Asegurar el acceso a los activos de
información
33
Elaborar un inventario de datos personales y
de los sistemas de tratamiento.
Art. 61 - I
Paso 4. Elaborar un
arquitectura
Inventario de Datos
referencia.
métodos
apropiados.
La
APO03.02 Definir
por
arquitectura
de
referencia
la
describe la situación actual y el
de
objetivo de la arquitectura para los
dominios
negocio,
información,
datos, aplicaciones y tecnología.
Personales.
BAI10
Gestionar
Configuración.
la
Definir y mantener registros y
relaciones
entre
los
principales
566
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
recursos y capacidades necesarios
para la prestación de servicios.
Evaluar la adecuación del Plan de
DSS04.08
Ejecutar
revisiones
Continuidad
de
Negocio
(BCP)
después de la reanudación exitosa
de los procesos de negocio y
postreanudación.
servicios
después
de
una
disrupción.
DSS05.06
Gestionar
documentos sensibles
y
dispositivos
de
salida.
Paso 3. Establecer
34
Determinar las funciones y obligaciones de
las personas que traten datos personales.
Funciones y
Art. 61 - II
Obligaciones de
Quienes Traten
Datos Personales.
35
Contar con un análisis de riesgos de datos
Paso 5. Realizar el
personales
Análisis de Riesgo
que
consiste
en
identificar
peligros y estimar los riesgos a los datos
personales.
Art. 61 - III
de los Datos
Personales.
APO01.06 Definir
la
propiedad
la
de
información (datos) y
del sistema.
Criterios para la disponibilidad de
información sensible y el acceso a
medios de salida.
Criterios para
la definición de
dueños de información y de los
sistemas que la procesan.
Identificar, evaluar y reducir los
APO12 Gestionar el
Riesgo.
riesgos relacionados con TI de
forma continua, dentro de niveles
de tolerancia establecidos por la
dirección ejecutiva de la empresa.
567
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Identificar, documentar, priorizar y
BAI02.03
los
Gestionar
riesgos
de
los
requerimientos.
mitigar los riesgos funcionales y
técnicos relativos a procesamiento
de la información y asociados con
los requerimientos de la empresa.
Criterios
BAI03.01
soluciones
Diseñar
de
alto
nivel.
para
desarrollar
y
documentar diseños de alto nivel
usando técnicas de desarrollo ágil
o
por
fases
apropiadas
y
acordadas.
BAI03.02 Diseñar los
componentes
Paso 6.
Establecer
36
las
medidas
de
seguridad
aplicables a los datos personales e identificar
aquéllas implementadas de manera efectiva.
Identificación de las
Art. 61 - IV
detallados
de
la
solución.
medidas de
diseños progresivos considerando
todos los componentes.
Criterios
seguridad y Análisis
de Brecha.
Criterios para la elaboración de
para
componentes
BAI03.03
desarrollar
de
la
los
solución
Desarrollar
conforme el diseño siguiendo los
los componentes de
métodos de desarrollo, estándares
la solución.
de documentación, requerimientos
de calidad (QA) y estándares de
aprobación.
BAI03.05
soluciones.
Construir
Criterios para la construcción de
soluciones e integrarlas con los
procesos de negocio, seguridad y
568
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
auditabilidad.
DSS02.03
aprobar
Verificar,
y
resolver
Actividades
y
métodos
para
aprobar y solucionar incidentes y
peticiones de servicio.
peticiones de servicio.
DSS05.04 Gestionar la
Criterios para que los usuarios
identidad del usuario
tengan los derechos apropiados
y el acceso lógico.
de acceso a la información.
DSS05.05 Gestionar el
Criterios para que los usuarios
acceso
tengan los derechos apropiados
físico a
los
activos de TI.
de acceso físico a la información.
DSS05.03 Gestionar la
Asegurar
que
los
seguridad
usuario
final
se
puestos
de
de
los
usuario
final.
puestos
de
encuentren
asegurados para evitar mal uso de
la información.
DSS05.01
Proteger
contra
software
malicioso (malware).
Actividades
de
control
contra
software malicioso.
Utilizar medidas de seguridad y
DSS05.02 Gestionar la
procedimientos
seguridad de la red y
relacionados
las conexiones.
información en todos los modos
para
de
gestión
proteger
la
de conexión.
APO13.01 Establecer y
Criterios para el establecimiento y
mantener un SGSI.
mantenimiento de un SGSI.
569
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
APO13.03
Supervisar
y revisar el SGSI.
MEA02
Supervisar,
Evaluar y Valorar el
37
Realizar el análisis de brecha que consiste en
Paso 6.
Sistema
la diferencia de las medidas de seguridad
Identificación de las
Interno.
medidas de
MEA03
existentes y aquéllas faltantes que resultan
Art. 61 - V
necesarias para la protección de los datos
personales.
Descripción
Objetivo de Control
de
Control
Criterios para la supervisión y
revisión del sistema de gestión por
parte de la Dirección.
Actividades
para
el
monitoreo
periódico del ambiente de control
interno.
Supervisar,
seguridad y Análisis
Evaluar y Valorar la
Actividades para el monitoreo del
de Brecha.
Conformidad con los
cumplimiento regulatorio, legal y
Requerimientos
contractual.
Externos.
Paso 7.
Implementación de
Elaborar
38
un
plan
de
trabajo
para
la
implementación de las medidas de seguridad
MEA02
Supervisar,
Evaluar y Valorar el
las Medidas de
Sistema
Seguridad
Interno.
de
Control
Actividades
para
el
monitoreo
periódico del ambiente de control
interno.
Aplicables a los
Art. 61 - VI
faltantes, derivadas del análisis de brecha.
Datos Personales.
MEA03
Supervisar,
Plan de Trabajo
Evaluar y Valorar la
Actividades para el monitoreo del
para la
Conformidad con los
cumplimiento regulatorio, legal y
Requerimientos
contractual.
Implementación de
las Medidas de
Externos.
Seguridad Faltantes.
39
Llevar a cabo revisiones o auditorías.
Art. 61 - VII
Paso 8. Revisiones y
APO11.04
Supervisar
Actividades
para
planear
570
y
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Auditoría.
Identificador y
nombre
Descripción
Objetivo de Control
y hacer controles y
monitorear
revisiones de calidad.
calidad implementados.
DSS05.07
Supervisar
la infraestructura para
detectar
eventos
relacionados
con
la
seguridad.
MEA02
Supervisar,
de
Control
Interno.
MEA03
controles
de
Actividades para la detección de
intrusiones,
supervisar
infraestructura
para
la
detectar
accesos no autorizados y asegurar
que
cualquier
evento
esté
contemplado.
Evaluar y Valorar el
Sistema
los
Actividades
para
el
monitoreo
periódico del ambiente de control
interno.
Supervisar,
Evaluar y Valorar la
Actividades para el monitoreo del
Conformidad con los
cumplimiento regulatorio, legal y
Requerimientos
contractual.
Externos.
APO07.03
Paso 9. Mejora
40
Capacitar
al
personal
que
tratamiento de datos personales.
efectúe
el
Art. 61 - VIII
Continua y
Capacitación.
Capacitación.
las
Mantener
habilidades
competencias
y
del
Actividades para el entrenamiento
continuo del personal.
personal.
APO07 Gestionar los
Recursos Humanos.
Criterios para la gestión de RH
respecto
a
sus
habilidades,
capacidades, y responsabilidades
571
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
dentro de la organización.
Definir y mantener registros y
BAI10
Paso 5. Realizar el
41
Realizar un registro de
los medios de
almacenamiento de los datos personales.
Gestionar
la
Configuración
los
principales
para la prestación de servicios.
Evaluar la adecuación del Plan de
de los Datos
Personales.
entre
recursos y capacidades necesarios
Análisis de Riesgo
Art. 61 - IX
relaciones
DSS04.08
Ejecutar
revisiones
Continuidad
de
Negocio
(BCP)
después de la reanudación exitosa
de los procesos de negocio y
postreanudación.
servicios
después
de
una
disrupción.
Criterios
BAI03.01
soluciones
Diseñar
de
alto
nivel.
42
seguridad.
implementar para la
Art. 61
y
usando técnicas de desarrollo ágil
por
fases
apropiadas
y
acordadas.
BAI03.02 Diseñar los
seguridad de los
componentes
datos personales
detallados
documentadas.
desarrollar
documentar diseños de alto nivel
o
3. Acciones a
Contar con una relación de las medidas de
para
de
la
solución.
BAI03.03
Desarrollar
los componentes de
la solución.
Criterios para la elaboración de
diseños progresivos considerando
todos los componentes.
Criterios
para
componentes
desarrollar
de
la
los
solución
conforme el diseño siguiendo los
métodos de desarrollo, estándares
572
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
de documentación, requerimientos
de calidad (QA) y estándares de
aprobación.
Criterios para la construcción de
BAI03.05
Construir
soluciones.
soluciones e integrarlas con los
procesos de negocio, seguridad y
auditabilidad.
DSS02.03
aprobar
Verificar,
y
resolver
Actividades
y
métodos
aprobar y solucionar incidentes y
peticiones de servicio.
peticiones de servicio.
DSS01.01
Mantener
Ejecutar
para
y
ejecutar
procedimientos
procedimientos y tareas operativas
operativos.
de forma confiable y consistente.
Utilizar medidas de seguridad y
DSS05.02 Gestionar la
procedimientos
de
seguridad de la red y
relacionados
las conexiones.
información en todos los modos
para
gestión
proteger
la
de conexión.
DSS05.03 Gestionar la
Asegurar
que
los
seguridad
usuario
final
se
puestos
de
de
los
usuario
puestos
de
encuentren
asegurados para evitar mal uso de
final.
la información.
DSS05.04 Gestionar la
Criterios para que los usuarios
identidad del usuario
tengan los derechos apropiados
573
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
y el acceso lógico.
de acceso a la información.
DSS05.05 Gestionar el
Criterios para que los usuarios
acceso
tengan los derechos apropiados
físico a
los
activos de TI.
DSS06.03
de acceso físico a la información.
Gestionar
roles,
Criterios para el establecimiento
responsabilidades,
de
privilegios de acceso
autorización
y
procesos de negocio.
niveles
de
niveles
de
acceso
dentro
de
y
los
autorización.
DSS06.06
los
Actualizar las medidas de seguridad cuando:
I. Se modifiquen las medidas o procesos de
Asegurar
activos
de
II. Se produzcan modificaciones sustanciales
por
métodos
apropiados.
APO11.04
Supervisar
Actividades
y hacer controles y
monitorear
revisiones de calidad.
calidad implementados.
para
los
planear
controles
y
de
Identificar, evaluar y reducir los
de las revisiones a la política de seguridad
del responsable.
información
información.
seguridad para su mejora continua, derivado
43
Asegurar el acceso a los activos de
Art. 62
Paso 8. Revisiones y
Auditoría.
APO12 Gestionar el
Riesgo.
riesgos relacionados con TI de
forma continua, dentro de niveles
de tolerancia establecidos por la
en el tratamiento que deriven en un cambio
dirección ejecutiva de la empresa.
del nivel de riesgo.
BAI02.03
III. Se vulneren los sistemas de tratamiento,
los
de conformidad con lo dispuesto en el
requerimientos.
riesgos
Gestionar
de
los
Identificar, documentar, priorizar y
mitigar los riesgos funcionales y
técnicos relativos a procesamiento
574
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
artículo 20 de la Ley y 63 de su Reglamento.
de la información y asociados con
IV.
los requerimientos de la empresa.
Exista
una
afectación
a
los
datos
personales distinta a las anteriores.
Criterios para desarrollar y ejecutar
En el caso de datos personales sensibles, los
responsables procurarán revisar y, en su caso,
BAI03.10
Mantener
actualizar las relaciones correspondientes una
soluciones.
un plan para el mantenimiento de
la solución y componentes de la
infraestructura.
vez al año.
DSS05 Gestionar los
Establecer
Servicios
procedimientos para la gestión de
de
Seguridad.
DSS01.01
políticas
y
la seguridad de la información.
Ejecutar
Mantener
y
ejecutar
procedimientos
procedimientos y tareas operativas
operativos.
de forma confiable y consistente.
Utilizar medidas de seguridad y
DSS05.02 Gestionar la
procedimientos
de
seguridad de la red y
relacionados
las conexiones.
información en todos los modos
para
gestión
proteger
la
de conexión.
DSS05.03 Gestionar la
Asegurar
que
los
seguridad
usuario
final
se
puestos
de
de
los
usuario
puestos
de
encuentren
asegurados para evitar mal uso de
final.
la información.
DSS05.04 Gestionar la
Criterios para que los usuarios
identidad del usuario
tengan los derechos apropiados
y el acceso lógico.
de acceso a la información.
575
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
DSS05.05 Gestionar el
Criterios para que los usuarios
acceso
tengan los derechos apropiados
físico a
los
activos de TI.
DSS06.03
de acceso físico a la información.
Gestionar
roles,
Criterios para el establecimiento
responsabilidades,
de
privilegios de acceso
autorización
y
procesos de negocio.
niveles
de
niveles
de
acceso
dentro
y
de
los
autorización.
DSS06.06
los
Asegurar
activos
de
información.
Asegurar el acceso a los activos de
información
por
métodos
apropiados.
VULNERACIONES A LA SEGURIDAD
DSS05.07
Las vulneraciones de seguridad ocurridas en
la infraestructura para
cualquier fase del tratamiento que afecten de
detectar
eventos
relacionados
con
Paso 8. Revisiones y
forma significativa los derechos patrimoniales
44
Supervisar
o morales de los titulares, serán informadas
de forma inmediata por el responsable al
titular, a fin de que este último pueda tomar
las medidas correspondientes a la defensa de
sus derechos.
Art. 20
Art. 63
Art. 64
Auditoría.
Vulneraciones a la
la
seguridad.
Actividades para la detección de
intrusiones,
supervisar
infraestructura
para
la
detectar
accesos no autorizados y asegurar
que
cualquier
evento
esté
contemplado.
Seguridad de la
DSS02.01
Definir
Información.
esquemas
de
Criterios para la definición de la
clasificación
de
clasificación
incidentes
y
de
incidentes
solicitudes de servicio.
peticiones de servicio.
576
y
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
En caso de que ocurra una vulneración a la
seguridad
de
los
datos
personales,
el
responsable deberá informar al titular al
menos lo siguiente:
I. La naturaleza del incidente.
45
II. Los datos personales comprometidos.
III. Las recomendaciones al titular acerca de
Art. 65
Paso 8. Revisiones y
DSS02.01
Definir
Auditoría.
esquemas
de
Criterios para la definición de la
clasificación
de
clasificación
Vulneraciones a la
Seguridad de la
las medidas que éste pueda adoptar para
Información.
proteger sus intereses.
incidentes
y
de
incidentes
y
solicitudes de servicio.
peticiones de servicio.
IV. Las acciones correctivas realizadas de
forma inmediata.
V. Los medios donde puede obtener más
información al respecto.
DSS05.07
la infraestructura para
En caso de que ocurra una vulneración a los
datos
personales,
el responsable
deberá
Paso 8. Revisiones y
analizar las causas por las cuales se presentó
46
e
implementar
las
acciones
correctivas,
Supervisar
Auditoría.
Art. 66
Vulneraciones a la
detectar
eventos
relacionados
con
la
seguridad.
Actividades para la detección de
intrusiones,
supervisar
infraestructura
para
la
detectar
accesos no autorizados y asegurar
que
cualquier
evento
esté
contemplado.
preventivas y de mejora para adecuar las
Seguridad de la
DSS02.01
Definir
medidas de seguridad correspondientes, a
Información.
esquemas
de
Criterios para la definición de la
clasificación
de
clasificación
efecto de evitar que la vulneración se repita.
incidentes
y
de
incidentes
solicitudes de servicio.
peticiones de servicio.
577
y
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
DSS03.02 Investigar y
Criterios
para
diagnosticar
investigación
problemas.
problemas.
el
y
proceso
de
diagnóstico
de
ENCARGADO
El
encargado
tendrá
las
siguientes
APO07.06
obligaciones respecto del tratamiento que
el
realice por cuenta del responsable:
47
Gestionar
personal
contratado.
Monitorear
que
el
personal
contratado tiene las capacidades
necesarias
y
cumple
con
las
políticas de la organización.
I. Tratar únicamente los datos personales
APO01.01 Definir
conforme a las instrucciones del responsable.
estructura
estructura
II. Abstenerse de tratar los datos personales
organizativa.
necesidades de la organización.
para finalidades distintas a las instruidas por
APO10.03
el responsable.
contratos y relaciones
contratos
con proveedores.
terceros.
III. Implementar las medidas de seguridad
conforme a la Ley, su Reglamento y las
demás disposiciones aplicables.
IV. Guardar confidencialidad respecto de los
datos personales tratados.
V. Suprimir los datos personales objeto de
tratamiento una vez cumplida la relación
jurídica
con
instrucciones
el
responsable
o
por
del responsable, siempre y
cuando no exista una previsión legal que
exija la conservación de los datos personales.
Art. 50
1. Recomendación
General.
la
Gestionar
APO09 Gestionar los
Acuerdos de Servicio.
APO10 Gestionar los
Proveedores.
DSS01 Gestionar las
Operaciones.
DSS05 Gestionar los
Criterios para la definición de una
que
cubra
las
Criterios para el monitoreo de
y
Criterios
control
para
de
relaciones
el
los
con
monitoreo
acuerdos
y
de
servicio.
Criterios para la administración de
proveedores de acuerdo a las
necesidades de negocio.
Establecer
políticas
y
procedimientos para la entrega de
servicios de TI.
Establecer
políticas
y
578
N°
Requerimiento normativo
VI.
Abstenerse
de
transferir
los
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
datos
Identificador y
nombre
Descripción
Objetivo de Control
Servicios
de
personales salvo en el caso de que el
Seguridad.
responsable
DSS06 Gestionar los
así
lo
determine,
la
la seguridad de la información.
comunicación derive de una subcontratación,
Controles
de
los
o
Procesos
de
la
cuando
así
lo
requiera
la
autoridad
competente.
procedimientos para la gestión de
Empresa.
Criterios
para
la
definición
y
mantenimiento de controles a lo
largo de los procesos de negocio.
SUBCONTRATACIONES
APO07.01
la
Paso 7.
Implementación de
La
relación
entre
el
responsable
y
el
las Medidas de
encargado deberá estar establecida mediante
48
cláusulas contractuales u otro instrumento
jurídico que decida el responsable, que
Seguridad
Art. 51
Aplicables a los
Datos Personales.
permita acreditar su existencia, alcance y
Cumplimiento
contenido.
Cotidiano de
Medidas de
Seguridad.
Mantener
dotación
de
personal suficiente y
adecuado.
APO07.06
el
Gestionar
personal
contratado.
APO09 Gestionar los
Acuerdos de Servicio.
APO10 Gestionar los
Proveedores.
Toda subcontratación de servicios por parte
49
del encargado que implique el tratamiento
de datos personales deberá ser autorizada
Art. 54
Art. 55
Paso 7.
Implementación de
las Medidas de
APO09 Gestionar los
Acuerdos de Servicio.
Criterios para mantener solo a
personal necesario de acuerdo a
las necesidades del negocio.
Monitorear
que
el
personal
contratado tiene las capacidades
necesarias
y
cumple
con
las
políticas de la organización.
Criterios
control
para
de
el
los
monitoreo
acuerdos
y
de
servicio.
Criterios para la administración de
proveedores de acuerdo a las
necesidades de negocio.
Criterios
control
para
de
el
los
monitoreo
acuerdos
servicio.
579
y
de
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
por el responsable, y se realizará en nombre
vez
obtenida
la
autorización,
el
Datos Personales.
Cumplimiento
el
cláusulas
Cotidiano de
contractuales u otro instrumento jurídico que
Medidas de
permita acreditar su existencia, alcance y
Seguridad.
a
Descripción
Aplicables a los
encargado deberá formalizar la relación con
subcontratado
nombre
Objetivo de Control
Seguridad
y por cuenta de este último.
Una
Identificador y
través
de
contenido.
APO10 Gestionar los
En caso de que la subcontratación no haya
Proveedores.
Criterios para la administración de
proveedores de acuerdo a las
necesidades de negocio.
sido prevista en cláusulas contractuales, el
encargado deberá obtener la autorización
correspondiente
del
responsable
previamente.
La
obligación
de
acreditar
que
la
subcontratación se realizó con autorización
del responsable corresponderá al encargado.
CÓMPUTO EN LA NUBE
50
Para el tratamiento de datos personales en
Paso 7.
servicios, aplicaciones e infraestructura en el
Implementación de
denominado cómputo en la nube, en los que
las Medidas de
el responsable se adhiera a los mismos
mediante condiciones o cláusulas generales
Art. 52 - I
Seguridad
APO07.06
el
Gestionar
personal
contratado.
Monitorear
que
el
personal
contratado tiene las capacidades
necesarias
y
cumple
con
las
políticas de la organización.
Aplicables a los
APO10.01 Identificar y
de contratación, sólo podrá utilizar aquellos
Datos Personales.
evaluar las relaciones
Criterios para la identificación y
servicios en los que el proveedor cumpla, al
Cumplimiento
y
categorización de proveedores.
menos, con lo siguiente:
Cotidiano de
proveedores.
contratos
con
580
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
a) Tener y aplicar políticas de protección de
Identificador y
nombre
Descripción
Objetivo de Control
Medidas de
APO10.03
Seguridad.
contratos y relaciones
contratos
con proveedores.
terceros.
datos personales afines a los principios y
deberes aplicables que establece la Ley y su
Gestionar
APO09 Gestionar los
Reglamento;
Acuerdos de Servicio.
b) Transparentar las subcontrataciones que
APO10 Gestionar los
involucren la información sobre la que se
Proveedores.
presta el servicio;
Operaciones.
prestación del servicio que le autoricen o
Criterios
control
relaciones
para
de
el
los
con
monitoreo
acuerdos
y
de
servicio.
Criterios para la administración de
proveedores de acuerdo a las
Establecer
políticas
y
procedimientos para la entrega de
servicios de TI.
permitan asumir la titularidad o propiedad de
DSS05 Gestionar los
Establecer
la información sobre la que presta el servicio,
Servicios
procedimientos para la gestión de
y
Seguridad.
de
d) Guardar confidencialidad respecto de los
Controles
de
los
datos personales sobre los que se preste el
Procesos
de
la
servicio.
Empresa.
Para el tratamiento de datos personales en
Paso 7.
servicios, aplicaciones e infraestructura en el
Implementación de
denominado cómputo en la nube, en los que
Art. 52 - II
las Medidas de
el responsable se adhiera a los mismos
Seguridad
mediante condiciones o cláusulas generales
Aplicables a los
APO07.06
el
políticas
y
la seguridad de la información.
DSS06 Gestionar los
51
y
necesidades de negocio.
DSS01 Gestionar las
c) Abstenerse de incluir condiciones en la
Criterios para el monitoreo de
Gestionar
personal
contratado.
APO10.01 Identificar y
Criterios
para
la
definición
y
mantenimiento de controles a lo
largo de los procesos de negocio.
Monitorear
que
el
personal
contratado tiene las capacidades
necesarias
y
cumple
con
las
políticas de la organización.
Criterios para la identificación y
581
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
de contratación, sólo podrá utilizar aquellos
Datos Personales.
servicios en los que el proveedor cuente con
Cumplimiento
y
mecanismos, al menos, para:
Cotidiano de
proveedores.
Medidas de
APO10.03
Seguridad.
contratos y relaciones
contratos
con proveedores.
terceros.
a) Dar a conocer cambios en sus políticas de
privacidad o condiciones del servicio que
presta;
tratamiento de los datos personales sobre los
que se presta el servicio;
Establecer
contratos
y
mantener
Gestionar
Acuerdos de Servicio.
APO10 Gestionar los
Proveedores.
medidas
de
seguridad adecuadas para la protección de
los datos personales sobre los que se preste
el servicio;
d) Garantizar la supresión de los datos
categorización de proveedores.
con
APO09 Gestionar los
b) Permitir al responsable limitar el tipo de
c)
evaluar las relaciones
Criterios para el monitoreo de
y
Criterios
control
para
de
relaciones
el
los
con
monitoreo
acuerdos
y
de
servicio.
Criterios para la administración de
proveedores de acuerdo a las
necesidades de negocio.
DSS01 Gestionar las
Operaciones.
Establecer
políticas
y
procedimientos para la entrega de
servicios de TI.
DSS05 Gestionar los
Establecer
Servicios
procedimientos para la gestión de
de
Seguridad.
políticas
y
la seguridad de la información.
personales una vez que haya concluido el
servicio prestado al responsable, y que este
último haya podido recuperarlos, y
e) Impedir el acceso a los datos personales a
personas que no cuenten con privilegios de
DSS06 Gestionar los
Controles
de
los
Procesos
de
la
Empresa.
Criterios
para
la
definición
y
mantenimiento de controles a lo
largo de los procesos de negocio.
acceso, o bien en caso de que sea a solicitud
582
N°
Requerimiento normativo
fundada
y
competente,
motivada
informar
de
de
autoridad
ese
hecho
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
al
responsable.
TRANSFERENCIAS
DSS01.01
Cuando el responsable pretenda transferir los
Ejecutar
y
ejecutar
procedimientos
procedimientos y tareas operativas
operativos.
de forma confiable y consistente.
Utilizar medidas de seguridad y
datos personales a terceros nacionales o
extranjeros, distintos del encargado, deberá
Paso 7.
DSS05.02 Gestionar la
procedimientos
comunicar a éstos el aviso de privacidad y las
Implementación de
seguridad de la red y
relacionados
finalidades a las que el titular sujetó su
las Medidas de
las conexiones.
información en todos los modos
tratamiento.
52
Mantener
de
para
gestión
proteger
la
de conexión.
Art. 68
Seguridad
Art. 71
Aplicables a los
Art. 72
Datos Personales.
Art. 74
Cumplimiento
puestos
la
Cotidiano de
final.
la información.
transferencia de sus datos, de igual manera,
Medidas de
DSS05.04 Gestionar la
Criterios para que los usuarios
el tercero receptor, asumirá las mismas
Seguridad.
identidad del usuario
tengan los derechos apropiados
y el acceso lógico.
de acceso a la información.
DSS05.05 Gestionar el
Criterios para que los usuarios
acceso
tengan los derechos apropiados
El tratamiento de los datos se hará conforme
a lo convenido en el aviso de privacidad, el
cual contendrá una cláusula en la que se
indique
si
obligaciones
el
titular
que
acepta
o
no
correspondan
responsable que transfirió los datos.
al
Art. 36
DSS05.03 Gestionar la
Asegurar
que
los
seguridad
usuario
final
se
de
de
usuario
físico a
activos de TI.
los
los
puestos
de
encuentren
asegurados para evitar mal uso de
de acceso físico a la información.
583
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
DSS06.03
Gestionar
roles,
Criterios para el establecimiento
responsabilidades,
de
privilegios de acceso
autorización
y
procesos de negocio.
niveles
de
niveles
de
acceso
dentro
de
y
los
autorización.
DSS06.06
los
Asegurar
activos
de
información.
DSS01.01
Asegurar el acceso a los activos de
información
por
métodos
apropiados.
Ejecutar
Mantener
y
ejecutar
procedimientos
procedimientos y tareas operativas
operativos.
de forma confiable y consistente.
Paso 7.
Para
efectos
transferencia,
de
demostrar
sea
ésta
que
la
nacional
o
las Medidas de
Seguridad
internacional, se realiza conforme a lo que
53
establece la Ley y su Reglamento, la carga de
la prueba recaerá, en todos los casos, en el
responsable que transfiere y en el receptor
de los datos personales.
Utilizar medidas de seguridad y
Implementación de
Art. 69
Aplicables a los
DSS05.02 Gestionar la
procedimientos
seguridad de la red y
relacionados
las conexiones.
información en todos los modos
Cotidiano de
Medidas de
Seguridad.
para
gestión
proteger
la
de conexión.
Datos Personales.
Cumplimiento
de
DSS05.03 Gestionar la
Asegurar
que
los
seguridad
usuario
final
se
puestos
de
de
los
usuario
puestos
de
encuentren
asegurados para evitar mal uso de
final.
la información.
DSS05.04 Gestionar la
Criterios para que los usuarios
identidad del usuario
tengan los derechos apropiados
584
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
y el acceso lógico.
de acceso a la información.
DSS05.05 Gestionar el
Criterios para que los usuarios
acceso
tengan los derechos apropiados
físico a
los
activos de TI.
DSS06.03
de acceso físico a la información.
Gestionar
roles,
Criterios para el establecimiento
responsabilidades,
de
privilegios de acceso
autorización
y
procesos de negocio.
niveles
de
niveles
de
acceso
dentro
de
y
los
autorización.
DSS06.06
los
Asegurar
activos
de
información.
En
54
el
caso
de
transferencias
de
DSS01.01
datos
Asegurar el acceso a los activos de
información
por
métodos
apropiados.
Ejecutar
Mantener
y
ejecutar
personales entre sociedades controladoras,
procedimientos
procedimientos y tareas operativas
subsidiarias o afiliadas bajo el control común
operativos.
de forma confiable y consistente.
del mismo grupo del responsable, o a una
sociedad matriz o a cualquier sociedad del
mismo grupo del responsable, el mecanismo
para garantizar que el receptor de los datos
personales cumplirá con las disposiciones
Art. 70
1. Recomendación
General
Utilizar medidas de seguridad y
DSS05.02 Gestionar la
procedimientos
seguridad de la red y
relacionados
las conexiones.
información en todos los modos
para
de
gestión
proteger
de conexión.
585
la
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
previstas en la Ley, su Reglamento y demás
DSS05.03 Gestionar la
Asegurar
que
los
normativa aplicable, podrá ser la existencia
seguridad
usuario
final
se
de normas internas de protección de datos
puestos
personales cuya observancia sea vinculante,
final.
la información.
siempre y cuando éstas cumplan con lo
DSS05.04 Gestionar la
Criterios para que los usuarios
establecido en la Ley, su
identidad del usuario
tengan los derechos apropiados
y el acceso lógico.
de acceso a la información.
DSS05.05 Gestionar el
Criterios para que los usuarios
acceso
tengan los derechos apropiados
demás normativa aplicable.
Reglamento y
de
de
los
usuario
físico a
los
activos de TI.
DSS06.03
puestos
de
encuentren
asegurados para evitar mal uso de
de acceso físico a la información.
Gestionar
roles,
Criterios para el establecimiento
responsabilidades,
de
privilegios de acceso
autorización
y
procesos de negocio.
niveles
de
niveles
de
acceso
dentro
de
y
los
autorización.
DSS06.06
los
Asegurar
activos
de
información.
MEA02
Supervisar,
Interno.
de
información
por
métodos
apropiados.
Evaluar y Valorar el
Sistema
Asegurar el acceso a los activos de
Control
Actividades
para
el
monitoreo
periódico del ambiente de control
interno.
586
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
MEA03
Supervisar,
Evaluar y Valorar la
Actividades para el monitoreo del
Conformidad con los
cumplimiento regulatorio, legal y
Requerimientos
contractual.
Externos.
APO09 Gestionar los
Acuerdos de Servicio.
APO10 Gestionar los
Paso 7.
Implementación de
La
transferencia
deberá
formalizarse
las Medidas de
mediante algún mecanismo que permita
55
Seguridad
demostrar que el responsable transferente
Art. 73
Aplicables a los
comunicó
Art. 75
Datos Personales.
al
responsable
receptor
las
condiciones en las que el titular consintió el
Cumplimiento
tratamiento de sus datos personales.
Cotidiano de
Medidas de
Seguridad.
Proveedores.
DSS01.01
Criterios
control
para
de
el
monitoreo
los
acuerdos
y
de
servicio.
Criterios para la administración de
proveedores de acuerdo a las
necesidades de negocio.
Ejecutar
Mantener
y
ejecutar
procedimientos
procedimientos y tareas operativas
operativos.
de forma confiable y consistente.
Utilizar medidas de seguridad y
DSS05.02 Gestionar la
procedimientos
de
seguridad de la red y
relacionados
las conexiones.
información en todos los modos
para
gestión
proteger
la
de conexión.
DSS05.03 Gestionar la
Asegurar
que
los
seguridad
usuario
final
se
puestos
de
de
los
usuario
puestos
de
encuentren
asegurados para evitar mal uso de
final.
la información.
DSS05.04 Gestionar la
Criterios para que los usuarios
587
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
identidad del usuario
tengan los derechos apropiados
y el acceso lógico.
de acceso a la información.
DSS05.05 Gestionar el
Criterios para que los usuarios
acceso
tengan los derechos apropiados
físico a
los
activos de TI.
DSS06.03
de acceso físico a la información.
Gestionar
roles,
Criterios para el establecimiento
responsabilidades,
de
privilegios de acceso
autorización
y
procesos de negocio.
niveles
de
niveles
de
dentro
acceso
de
y
los
autorización.
DSS06.06
los
Asegurar
activos
información.
de
Asegurar el acceso a los activos de
información
por
métodos
apropiados.
588
4.19 PCI DSS, Payment Card Industry Data Security Standard v2.0.
Introducción. Este estándar fue desarrollado por un comité conformado por las compañías de tarjetas bancarias más
importantes, como una guía para las organizaciones que procesan, almacenan y/o transmiten datos de tarjetahabientes,
con el fin de asegurar dichos datos y prevenir fraudes.
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
RESPONSABLE
Desarrollar
mantener
y
una
red
segura.
Los responsables en el tratamiento de datos
personales, deberán observar los principios
1
de
licitud,
consentimiento,
información,
calidad, finalidad, lealtad, proporcionalidad y
responsabilidad, previstos en la Ley.
Art. 6
Art. 9
1. Recomendación
General.
Guías para tener una red segura
de comunicaciones.
Proteger los datos del
Guías para protección de datos
titular de la tarjeta.
del tarjetahabiente.
Mantener
un
programa
de
Guías
administración
de
vulnerabilidades de seguridad.
para
gestión
de
vulnerabilidad.
Implementar medidas
sólidas de control de
Guías para el control de acceso.
acceso.
Supervisar y evaluar
las
redes
regularidad.
con
Guías para la revisión periódica de
seguridad de la red.
589
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Mantener una política
Guías para definir y mantener una
de
política
seguridad
de
información.
de
seguridad
de
la
información.
Requisitos de las PCI
DSS adicionales para
Guías para controlar la seguridad
proveedores
cuando se emplean a proveedores
hosting
de
compartido
de hosting compartido.
(Anexo A).
LICITUD Y LEALTAD
Los datos personales deberán recabarse y
tratarse de manera lícita, privilegiando la
protección de los intereses del titular y la
expectativa
2
razonable
de
privacidad,
sin
importar la fuente de la que se obtienen los
datos.
Art. 7
Art. 7
Art. 10
Art. 44
Paso 1. Alcance y
Objetivos.
NO APLICA
NO APLICA
La obtención de datos personales no debe
hacerse a través de medios engañosos o
fraudulentos.
CONSENTIMIENTO
590
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
El tratamiento de datos personales estará
sujeto al consentimiento de su titular, salvo
las excepciones previstas por la Ley.
Los
3
datos
financieros
o
patrimoniales
Art. 11
requerirán consentimiento expreso de su
Art. 12
titular.
Art. 8
Art. 15
Paso 2. Política de
Gestión de Datos
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Personales.
Cuando los datos personales se obtengan
personalmente o de manera directa de su
titular, el consentimiento deberá ser previo al
tratamiento.
El responsable
4
deberá facilitar
al titular
medios sencillos y gratuitos para manifestar
Paso 2. Política de
Art. 8
Art. 16
su consentimiento expreso.
Gestión de Datos
Personales.
Tratándose de datos personales sensibles, el
responsable
deberá
obtener
el
3.2
consentimiento expreso y por escrito del
5
titular
para
su
tratamiento.
No podrán crearse bases de datos que
contengan datos personales sensibles, sin
Art. 9
Art. 56
Paso 2. Política de
datos
Gestión de Datos
de
Personales.
No
almacene
confidenciales
autenticación
después de recibir la
autorización.
Guías para el borrado seguro de
datos
confidenciales
del
tarjetahabiente cuando ya no son
necesarios.
que se justifique la creación de las mismas
591
N°
Requerimiento normativo
para
finalidades
legítimas,
concretas
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
y
acordes con las actividades o fines explícitos
que persigue el sujeto regulado.
Paso 7.
Implementación de
las Medidas de
Para efectos de demostrar la obtención del
6
consentimiento,
recaerá,
en
responsable.
la
todos
carga
los
de
la
casos,
prueba
en
el
Seguridad
Art. 20
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
INFORMACIÓN
592
N°
Requerimiento normativo
A
través
del
aviso
de
privacidad,
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
el
responsable tendrá la obligación de informar
a los titulares, los datos que recaba, las
finalidades necesarias y las que no lo son
para
la
relación
jurídica,
así
como
las
características principales de su tratamiento.
Art. 14
Cuando se traten datos personales como
7
parte de un proceso de toma de decisiones
Art. 15
sin que intervenga la valoración de una
persona
física,
el
responsable
Art. 23
Art. 112
Paso 2. Política de
Gestión de Datos
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Personales.
deberá
informar al titular que esta situación ocurre.
Si obtiene los datos de manera automática,
deberá informar al titular sobre el uso de
estas tecnologías y la forma en que podrá
deshabilitarlas.
Paso 7.
Implementación de
Cuando los datos personales sean obtenidos
directamente
8
del
titular,
el
aviso
las Medidas de
de
Seguridad
privacidad debe ponerse a disposición de los
Art. 3, I
titulares a través de formatos impresos,
Art. 17
Art. 27
Aplicables a los
Datos Personales.
digitales, visuales, sonoros o cualquier otra
Cumplimiento
tecnología.
Cotidiano de
Medidas de
Seguridad.
593
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
El aviso de privacidad
debe contener un
mecanismo,
el
para
que
titular
Implementación de
las Medidas de
pueda
manifestar su negativa al tratamiento de sus
9
datos
personales.
Cuando
los
datos
se
obtengan de manera indirecta del titular, el
Art. 14
Art. 18
Art. 29
Art. 32
responsable deberá darle a conocer el aviso
Seguridad
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Cumplimiento
Cotidiano de
de privacidad y sus cambios.
Medidas de
Seguridad
Paso 7.
Implementación de
las Medidas de
Para efectos de demostrar la puesta a
disposición
10
del
aviso
de
privacidad
cumplimiento del principio de información, la
carga de la prueba recaerá, en todos los
casos, en el responsable.
Seguridad
en
Art. 31
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
CALIDAD
594
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
El responsable procurará que los datos
personales contenidos en las bases de datos
11
sean
exactos,
completos,
pertinentes,
correctos y actualizados según se requiera
Paso 2. Política de
Art. 11
Art. 36
Gestión de Datos
NO APLICA
NO APLICA
Personales.
para el cumplimiento de la finalidad para la
cual son tratados.
Cuando los datos de carácter personal hayan
dejado
de
ser
necesarios
para
el
cumplimiento de las finalidades previstas por
3.1
el aviso de privacidad y las disposiciones
menor
legales aplicables, deberán ser cancelados,
posible de datos de
previo bloqueo de los mismos.
12
Art. 3 III
El responsable de la base de datos estará
obligado a eliminar la información relativa al
incumplimiento
de
obligaciones
Art. 11
Paso 2. Política de
Art. 37
Gestión de Datos
Personales.
Almacene
titulares
la
cantidad
de
tarjetas
implementando
para
la
definición
y
su borrado seguro.
procesos de retención
contractuales, una vez que transcurra un
y
disposición
plazo de setenta y dos meses, contado a
datos.
de
períodos de retención de datos y
políticas,
procedimientos
Guías
de
partir de la fecha calendario en que se
presente el mencionado incumplimiento.
595
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
3.1
Almacene
menor
la
cantidad
posible de datos de
El responsable establecerá y documentará
13
procedimientos para la conservación y, en su
caso, bloqueo y supresión de los datos
Paso 2. Política de
Art. 38
Gestión de Datos
Personales.
personales.
titulares
de
tarjetas
implementando
para
la
definición
de
períodos de retención de datos y
políticas,
procedimientos
Guías
y
su borrado seguro.
procesos de retención
y
disposición
de
datos.
Paso 7.
Implementación de
las Medidas de
Seguridad
Al responsable le corresponde demostrar que
14
los datos personales se conservan, o en su
caso, bloquean, suprimen o cancelan.
Art. 39
Aplicables a los
Datos Personales.
3.1
Almacene
menor
la
cantidad
posible de datos de
titulares
de
tarjetas
implementando
para
la
definición
de
períodos de retención de datos y
políticas,
Cumplimiento
procedimientos
Cotidiano de
procesos de retención
Medidas de
y
Seguridad.
datos.
disposición
Guías
y
su borrado seguro.
de
FINALIDAD
596
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
El tratamiento de datos personales deberá
limitarse al cumplimiento de las finalidades
3.1
previstas en el aviso de privacidad.
menor
Si el responsable pretende tratar los datos
posible de datos de
para un fin distinto al establecido, deberá
15
obtener nuevamente el consentimiento del
titular.
Art. 12
El titular podrá oponerse o revocar su
Art. 40
Paso 2. Política de
Art. 42
Gestión de Datos
Art. 43
Personales.
Almacene
la
cantidad
titulares
de
tarjetas
implementando
y
consentimiento para las finalidades distintas
procesos de retención
a las que dieron origen a la relación jurídica,
y
sin que ello tenga como consecuencia la
datos.
disposición
para
la
definición
de
períodos de retención de datos y
políticas,
procedimientos
Guías
su borrado seguro.
de
conclusión del tratamiento.
PROPORCIONALIDAD
3.1
menor
El tratamiento de datos personales será el
en relación con las finalidades previstas en el
aviso de privacidad. En particular para datos
personales sensibles, el responsable deberá
limitar el periodo de tratamiento al mínimo
indispensable.
la
cantidad
posible de datos de
que resulte necesario, adecuado y relevante
16
Almacene
Art. 13
Art. 45
Art. 46
Paso 2. Política de
Gestión de Datos
Personales.
titulares
de
tarjetas
implementando
para
la
definición
y
su borrado seguro.
procesos de retención
y
disposición
de
períodos de retención de datos y
políticas,
procedimientos
Guías
de
datos.
597
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
CONFIDENCIALIDAD
2.4 Los proveedores
de servicio de hosting
compartido
deben
proteger el entorno
hospedado
y
los
datos del titular de la
cualquier fase del tratamiento de datos
personales deberán guardar confidencialidad
respecto de éstos, obligación que subsistirá
para
proveedores
evaluar
que
de
los
hosting
compartido estén protegiendo los
datos del tarjetahabiente.
tarjeta de la entidad.
El responsable o terceros que intervengan en
17
Guías
Paso 2. Política de
Art. 21
Art. 9
Gestión de Datos
Personales.
aun después de finalizar sus relaciones con el
titular o, en su caso, con el responsable.
12.8.2 Mantenga un
acuerdo escrito que
incluya una mención
de
que
los
Guías para el establecimiento de
proveedores
de
acuerdos con los proveedores de
servicios
son
responsables
seguridad
de
la
de
los
servicios
y
para
que
sean
responsables de la seguridad de
los datos del tarjetahabiente.
datos de titulares de
tarjetas
que
ellos
tienen en su poder.
RESPONSABILIDAD
El responsable tiene la obligación de velar y
18
responder por el tratamiento de los datos
personales en su posesión, debiendo adoptar
las medidas necesarias.
Paso 2. Política de
Art. 14
Art. 47
Gestión de Datos
Personales.
Desarrollar
mantener
y
una
red
segura.
Proteger los datos del
Guías para tener una red segura
de comunicaciones.
Guías para protección de datos
598
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
titular de la tarjeta.
del tarjetahabiente.
El responsable deberá tomar las medidas
Mantener
un
necesarias y suficientes para garantizar que el
programa
de
Guías
aviso de privacidad dado a conocer al titular,
administración
de
vulnerabilidades de seguridad.
sea respetado en todo momento por él o
vulnerabilidad.
por terceros con los que guarde alguna
Implementar medidas
relación jurídica.
sólidas de control de
para
gestión
de
Guías para el control de acceso.
acceso.
Supervisar y evaluar
las
redes
con
regularidad.
Guías para la revisión periódica de
seguridad de la red.
Mantener una política
Guías para definir y mantener una
de
política
seguridad
de
información.
de
seguridad
de
la
información.
Requisitos de las PCI
DSS adicionales para
Guías para controlar la seguridad
proveedores
cuando se emplean a proveedores
hosting
de
compartido
de hosting compartido.
(Anexo A).
Los responsables deberán adoptar medidas
19
para
garantizar
el
debido
tratamiento,
privilegiando los intereses del titular y la
expectativa razonable de privacidad.
Art. 14
Art. 48
Paso 5. Realizar el
6.2
Análisis de Riesgo
proceso
de los Datos
Personales.
Establezca
identificar
un
para
y asignar
una clasificación
de
Guías
para
clasificación
la
de
vulnerabilidades
identificación
riesgos
de
y
antes
seguridad
informática.
599
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
riesgos
para
vulnerabilidades
de
seguridad
descubiertas
recientemente.
12.1
Establezca,
publique, mantenga y
distribuya una política
de seguridad.
12.4
Elaborar políticas y programas de privacidad
20
obligatorios y exigibles al interior de la
organización.
Art. 48 - I
Asegúrese
que las políticas y los
Gestión de Datos
procedimientos
seguridad
para
la
definición
y
comunicación de la política de
seguridad.
de
Paso 2. Política de
Personales.
Guías
de
Guías
para
establecer
las
definan
responsabilidades de seguridad de
las
la información para el personal
claramente
responsabilidades de
que
seguridad
tarjetahabiente.
de
la
procesa
los
datos
del
información de todo
el personal.
600
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
12.6 Implemente un
programa formal de
concienciación
Poner
21
en
práctica
un
programa
de
capacitación, actualización, y concientización
del
personal
sobre
las
obligaciones
en
Paso 9. Mejora
Art. 48 - II
materia de protección de datos personales.
sobre
seguridad para
que
Continua y
todos los empleados
Capacitación.
tomen conciencia de
Capacitación.
la importancia de la
seguridad
de
Guías para un programa forma de
concienciación de seguridad de la
información.
los
datos de titulares de
tarjetas.
Requisito 11: Pruebe
Guías para revisar periódicamente
con
los
la seguridad de los sistemas y
sistemas y procesos
procesos que manejan los datos
de seguridad.
de los tarjetahabientes.
regularidad
12.1.2
Establecer
22
un
sistema
de
supervisión
y
vigilancia interna, verificaciones o auditorías
externas para comprobar el cumplimiento de
las políticas de privacidad.
Incluya
un
anual
que
proceso
Art. 48 - III
Paso 8. Revisiones y
identifique
las
Auditoría.
amenazas,
y
vulnerabilidades, y los
resultados
en
Guías para llevar a cabo una
evaluación formal de riesgos.
una
evaluación formal de
riesgos.
12.1.3
Incluye
una
revisión al menos una
Guías
para
seguridad
la
ante
revisión
de
modificaciones
601
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
vez
al
año
y
importantes de los sistemas y
actualizaciones
al
aplicaciones que manejan datos
modificarse
el
del tarjetahabiente.
entorno.
12.3.1
Aprobación
explícita
por
las
partes autorizadas.
12.4
Asegúrese
Guías para que se aprueben las
políticas para el uso de tecnología.
de
que las políticas y los
procedimientos
seguridad
Paso 3. Establecer
23
Destinar recursos para la instrumentación de
los programas y políticas de privacidad.
Funciones y
Art. 48 - IV
Obligaciones de
Quienes Traten
Datos Personales.
de
definan
claramente
las
responsabilidades de
seguridad
de
la
Revisión
de
cuenten
con
para
la
que
las
políticas
responsabilidades
seguridad
de
la
información.
información de todo
el personal.
12.6 Implemente un
programa formal de
concienciación
seguridad para
sobre
que
todos los empleados
tomen conciencia de
Implementación del programa de
concienciación de seguridad de la
información.
la importancia de la
seguridad
de
los
602
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
datos de titulares de
tarjetas.
6.2
Establezca
proceso
Instrumentar un procedimiento para que se
Paso 5. Realizar el
atienda el riesgo para la protección de datos
24
personales por la implementación de nuevos
Art. 48 - V
productos, servicios, tecnologías y modelos
Análisis de Riesgo
de los Datos
Personales.
de negocios, así como para mitigarlos.
un
para
identificar
y asignar
una clasificación
riesgos
de
para
vulnerabilidades
de
seguridad
Guías
para
clasificación
la
identificación
de
vulnerabilidades
riesgos
de
y
antes
seguridad
informática.
descubiertas
recientemente.
Requisito 11: Pruebe
Guías para revisar periódicamente
con
los
la seguridad de los sistemas y
sistemas y procesos
procesos que manejan los datos
de seguridad.
de los tarjetahabientes.
regularidad
12.1.2
Revisar
25
periódicamente
las
políticas
y
programas de seguridad para determinar las
modificaciones que se requieran.
Art. 48 - VI
Paso 8. Revisiones y
Auditoría.
Incluya
un
anual
que
proceso
identifique
las
amenazas,
y
vulnerabilidades, y los
resultados
en
Guías para llevar a cabo una
evaluación formal de riesgos.
una
evaluación formal de
riesgos.
12.1.3
Incluye
una
Guías
para
la
revisión
603
de
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
revisión al menos una
seguridad
vez
y
importantes de los sistemas y
actualizaciones
al
aplicaciones que manejan datos
modificarse
el
del tarjetahabiente.
al
año
ante
modificaciones
entorno.
Paso 7.
Implementación de
las Medidas de
Establecer
26
procedimientos
para
recibir
Seguridad
y
responder dudas y quejas de los titulares de
Art. 48 - VII
los datos personales.
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
12.3.1
Aprobación
explícita
Disponer
27
de
mecanismos
para
el
cumplimiento de las políticas y programas de
privacidad, así como de sanciones por su
incumplimiento.
Paso 3. Funciones y
Art. 48 - VIII
Obligaciones de
Quienes Traten
Datos Personales.
por
las
partes autorizadas.
12.4
Asegúrese
Guías para que se aprueben las
políticas para el uso de tecnología.
de
que las políticas y los
Revisión
de
procedimientos
cuenten
con
seguridad
claramente
de
definan
las
para
la
que
las
políticas
responsabilidades
seguridad
de
información.
responsabilidades de
604
la
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
seguridad
de
la
información de todo
el personal.
Requisito 1: Instale y
mantenga
una
configuración
de
firewalls
para
proteger los datos de
Guías para la configuración de
firewalls.
los titulares de las
tarjetas.
Requisito 2: No use
Establecer medidas para el aseguramiento de
Paso 6.
los datos personales, es decir, un conjunto de
28
acciones técnicas y administrativas que
permitan garantizar al responsable el
cumplimiento de los principios y obligaciones
que establece la Ley y su Reglamento.
Identificación de las
Art. 48 - IX
medidas de
seguridad y Análisis
de Brecha.
contraseñas
sistemas
de
y
otros
parámetros
de
seguridad
provistos
Guías
para
no
utilizar
configuraciones por defecto de los
proveedores.
por los proveedores.
Requisito
3:
Proteja
los datos del titular
Guías para la protección de datos
de
durante su almacenamiento.
la
tarjeta
que
fueron almacenados.
Requisito
4:
Cifrar
transmisión de datos
del titular de la tarjeta
en las redes públicas
Guías para el cifrado de datos
durante su transmisión por redes
abiertas.
605
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
abiertas.
Requisito 5: Utilice y
actualice
Guías
regularmente
software
el
o
los
para
la
operación
y
mantenimiento de los esquemas
de antivirus.
programas antivirus.
Requisito
6:
Desarrolle
y
mantenga sistemas y
Guías
para
el
desarrollo
de
aplicaciones seguras.
aplicaciones seguras.
Requisito 7: Restringir
el acceso a los datos
Guías
del titular de la tarjeta
privilegio para el acceso a los
según
datos.
la
necesidad
para
aplicar
el
mínimo
de saber del negocio.
Requisito 8: Asignar
una
ID exclusiva
cada
tenga
a
Guías para uso de identificadores
persona
que
únicos
en
la
acceso
por
control de acceso.
identificación
y
computadora.
Requisito 9: Restringir
el acceso físico a los
Guías para el acceso físico a los
datos del titular de la
datos.
tarjeta.
606
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Requisito 10: Rastree
y supervise todos los
accesos a los recursos
de red y a los datos
de los titulares de las
Guías
para
el
monitoreo
y
supervisión de los accesos a los
datos y servicios de red.
tarjetas.
Requisito 11: Pruebe
Guías para revisar periódicamente
con
los
la seguridad de los sistemas y
sistemas y procesos
procesos que manejan los datos
de seguridad.
de los tarjetahabientes.
regularidad
Requisito
12:
Mantenga
una
política que aborde la
seguridad
de
información
la
para
todo el personal.
Guías para definir una política de
seguridad con responsabilidades
directas
para
maneja
los
el
personal
datos
que
de
los
tarjetahabientes.
Requisitos de las PCI
DSS adicionales para
Guías adicionales para el control
proveedores
de los proveedores de hosting
hosting
de
compartido
compartido.
Implemente
Guías para la verificación de pistas
(Anexo A).
Establecer medidas para la trazabilidad de los
29
datos personales, es decir acciones, medidas
y procedimientos técnicos que
permiten
Paso 6.
Art. 48 - X
Identificación de las
medidas de
10.2
pistas
de
auditoría
automatizadas
para
de auditoría en los sistemas y
aplicaciones.
607
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
rastrear a los datos personales durante su
seguridad y Análisis
tratamiento.
de Brecha.
Identificador y
nombre
Descripción
Objetivo de Control
todos
los
componentes
del
sistema.
10.5
Resguarde
pistas
de
para
evitar
las
auditoría
que
se
Guías para el resguardo de las
pistas de auditoría.
modifiquen.
10.6
Revise
los
registros de todos los
componentes
del
sistema al menos una
Guías para el monitoreo de los
componentes de los sistemas.
vez al día.
Paso 7.
Implementación de
Todo responsable deberá designar a una
persona,
personales,
30
o
departamento
quien
dará
de
las Medidas de
datos
trámite
a
Seguridad
las
solicitudes de los titulares, para el ejercicio
Aplicables a los
Art. 30
Datos Personales.
de los derechos a que se refiere la Ley.
Cumplimiento
Asimismo fomentará la protección de datos
Cotidiano de
personales al interior de la organización.
Medidas de
12.5
Asigne
las
siguientes
responsabilidades de
Guías para la asignación de un
gestión de seguridad
responsable de la seguridad de la
de la información a
información en la organización.
una
persona
o
equipo.
Seguridad.
SEGURIDAD
31
Todo
responsable
tratamiento
de
que
datos
lleve
personales
a
cabo
deberá
Art. 19
Art. 4
Paso 6.
Art. 9
Identificación de las
Requisito 1: Instale y
Guías para la configuración de
mantenga
firewalls.
una
608
N°
Requerimiento normativo
establecer y mantener medidas de seguridad
administrativas,
permitan
técnicas
proteger
los
y
físicas
datos
que
personales
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Art. 57
medidas de
seguridad y Análisis
de Brecha.
Identificador y
nombre
Descripción
Objetivo de Control
configuración
de
firewalls
para
proteger los datos de
contra daño, pérdida, alteración, destrucción
los titulares de las
o el uso, acceso o tratamiento no autorizado.
tarjetas.
No
Requisito 2: No use
adoptarán
medidas
de
seguridad
menores a aquellas que mantengan para el
contraseñas
manejo de su información.
sistemas
Cuando el encargado se encuentre ubicado
parámetros
en territorio mexicano, le serán aplicables las
seguridad
disposiciones relativas a las medidas de
por los proveedores.
seguridad contenidas en el Capítulo III de
Requisito
Reglamento.
los datos del titular
Guías para la protección de datos
de
durante su almacenamiento.
la
de
y
otros
de
provistos
3:
Guías
para
no
utilizar
configuraciones por defecto de los
proveedores.
Proteja
tarjeta
que
fueron almacenados.
Requisito
4:
Cifrar
transmisión de datos
Guías para el cifrado de datos
del titular de la tarjeta
durante su transmisión por redes
en
abiertas.
redes
públicas
abiertas.
Requisito 5: Utilice y
actualice
regularmente
software
el
o
los
Guías
para
la
operación
y
mantenimiento de los esquemas
de antivirus.
609
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
programas antivirus.
Requisito
6:
Desarrolle
y
mantenga sistemas y
Guías
para
el
desarrollo
de
aplicaciones seguras.
aplicaciones seguras.
Requisito 7: Restringir
el acceso a los datos
Guías
del titular de la tarjeta
privilegio para el acceso a los
según
datos.
la
necesidad
para
aplicar
el
mínimo
de saber del negocio.
Requisito 8: Asignar
una
ID exclusiva
cada
tenga
a
Guías para uso de identificadores
persona
que
únicos
en
la
identificación
acceso
por
control de acceso.
y
computadora.
Requisito 9: Restringir
el acceso físico a los
Guías para el acceso físico a los
datos del titular de la
datos.
tarjeta.
Requisito 10: Rastree
y supervise todos los
Guías
para
el
monitoreo
accesos a los recursos
supervisión de los accesos a los
de red y a los datos
datos y servicios de red.
de los titulares de las
610
y
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
tarjetas.
Requisito 11: Pruebe
Guías para revisar periódicamente
con
los
la seguridad de los sistemas y
sistemas y procesos
procesos que manejan los datos
de seguridad.
de los tarjetahabientes.
regularidad
Requisito
12:
Mantenga
una
política que aborde la
seguridad
de
información
la
para
todo el personal.
Guías para definir una política de
seguridad con responsabilidades
directas
para
maneja
los
el
personal
datos
que
de
los
tarjetahabientes.
Requisitos de las PCI
DSS adicionales para
Guías adicionales para el control
proveedores
de los proveedores de hosting
hosting
de
compartido
compartido.
(Anexo A).
611
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
El responsable determinará las medidas de
seguridad aplicables a los datos personales
que trate, considerando el riesgo existente,
las posibles consecuencias para los titulares,
la sensibilidad de los datos y el desarrollo
tecnológico.
6.2
De
manera
adicional,
el
responsable
proceso
procurará tomar en cuenta los siguientes
Paso 5. Realizar el
elementos:
32
I. El número de titulares;
Art. 19
Art. 60
II. Las vulnerabilidades previas ocurridas en
El
riesgo
por
el
valor
Análisis de Riesgo
de los Datos
Personales.
los sistemas de tratamiento;
III.
Establezca
potencial
un
para
identificar
y asignar
una clasificación
riesgos
de
para
vulnerabilidades
de
seguridad
Guías
para
clasificación
la
de
vulnerabilidades
identificación
riesgos
de
y
antes
seguridad
informática.
descubiertas
cuantitativo o cualitativo que pudieran tener
recientemente.
los datos personales tratados para una
tercera
persona
no
autorizada
para
su
posesión, y
IV. Demás factores que puedan incidir en el
nivel de riesgo o que resulten de otras leyes
o regulación aplicable al responsable.
33
Elaborar un inventario de datos personales y
de los sistemas de tratamiento.
Paso 4. Elaborar un
Art. 61 - I
Inventario de Datos
Personales.
9.7.1
medios
que
Clasifique
de
los
manera
se
pueda
determinar
la
Guías para la clasificación de los
datos.
612
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
confidencialidad
de
los datos.
9.8 Asegúrese de que
la gerencia apruebe
todos y cada uno de
los
medios
que
contengan datos de
titulares
de
tarjetas
Aprobación de los medios que
contienen
datos
de
los
tarjetahabientes.
que se muevan desde
un área segura.
9.9.1 Lleve registros
de
inventario
adecuadamente
de
todos los medios y
realice inventarios de
medios
Guías para el mantenimiento de
inventarios de medios.
anualmente
como mínimo.
613
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
12.4
Asegúrese
de
que las políticas y los
Paso 3. Establecer
34
Determinar las funciones y obligaciones de
las personas que traten datos personales.
Art. 61 - II
procedimientos
de
Guías
para
establecer
Funciones y
seguridad
Obligaciones de
claramente
Quienes Traten
responsabilidades de
que
seguridad
tarjetahabiente.
Datos Personales.
las
definan
responsabilidades de seguridad de
las
la información para el personal
de
la
procesa
los
datos
del
información de todo
el personal.
6.2
Establezca
proceso
Contar con un análisis de riesgos de datos
35
personales
que
consiste
en
identificar
peligros y estimar los riesgos a los datos
Paso 5. Realizar el
Art. 61 - III
personales.
Análisis de Riesgo
de los Datos
Personales.
identificar
un
para
y asignar
una clasificación
riesgos
vulnerabilidades
de
para
de
seguridad
Guías
para
clasificación
la
de
vulnerabilidades
identificación
riesgos
de
y
antes
seguridad
informática.
descubiertas
recientemente.
Establecer
36
las
medidas
de
Paso 6.
seguridad
aplicables a los datos personales e identificar
aquéllas implementadas de manera efectiva.
Art. 61 - IV
Identificación de las
medidas de
seguridad y Análisis
Requisito 1: Instale y
mantenga
configuración
firewalls
una
de
Guías para la configuración de
firewalls.
para
614
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
de Brecha.
Identificador y
nombre
Descripción
Objetivo de Control
proteger los datos de
los titulares de las
tarjetas.
Requisito 2: No use
contraseñas
sistemas
de
y
otros
parámetros
de
seguridad
provistos
Guías
para
no
utilizar
configuraciones por defecto de los
proveedores.
por los proveedores.
Requisito
3:
Proteja
los
datos del titular
Guías para la protección de datos
de
la
durante su almacenamiento.
tarjeta
que
fueron almacenados.
Requisito
4:
Cifrar
transmisión de datos
Guías para el cifrado de datos
del titular de la tarjeta
durante su transmisión por redes
en las redes públicas
abiertas.
abiertas.
Requisito 5: Utilice y
actualice
Guías
regularmente
software
el
o
los
para
la
operación
y
mantenimiento de los esquemas
de antivirus.
programas antivirus.
Requisito
6:
Guías
para
el
desarrollo
615
de
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Desarrolle
y
aplicaciones seguras.
mantenga sistemas y
aplicaciones seguras.
Requisito 7: Restringir
el acceso a los datos
Guías
del titular de la tarjeta
privilegio para el acceso a los
según
datos.
la
necesidad
para
aplicar
el
mínimo
de saber del negocio.
Requisito 8: Asignar
una
ID exclusiva
cada
a
Guías para uso de identificadores
persona
que
únicos
acceso
por
control de acceso.
tenga
en
la
identificación
y
computadora.
Requisito 9: Restringir
el acceso físico a los
Guías para el acceso físico a los
datos del titular de la
datos.
tarjeta.
Requisito 10: Rastree
y supervise todos los
accesos a los recursos
de red y a los datos
de los titulares de las
Guías
para
el
monitoreo
y
supervisión de los accesos a los
datos y servicios de red.
tarjetas.
Requisito 11: Pruebe
Guías para revisar periódicamente
616
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
con
regularidad
los
la seguridad de los sistemas y
sistemas y procesos
procesos que manejan los datos
de seguridad.
de los tarjetahabientes.
Requisito
12:
Mantenga
una
política que aborde la
seguridad
de
información
la
para
todo el personal.
Guías para definir una política de
seguridad con responsabilidades
directas
para
maneja
los
el
personal
datos
que
de
los
tarjetahabientes.
Requisitos de las PCI
DSS adicionales para
Guías adicionales para el control
proveedores
de los proveedores de hosting
hosting
de
compartido
compartido.
(Anexo A).
37
Realizar el análisis de brecha que consiste en
Paso 6.
la diferencia de las medidas de seguridad
Identificación de las
existentes y aquéllas faltantes que resultan
necesarias para la protección de los datos
personales.
Art. 61 - V
medidas de
seguridad y Análisis
de Brecha.
Requisito 11: Pruebe
Guías para revisar periódicamente
con
los
la seguridad de los sistemas y
sistemas y procesos
procesos que manejan los datos
de seguridad.
de los tarjetahabientes.
regularidad
12.1.2
Incluya
un
anual
que
proceso
identifique
las
amenazas,
y
Guías para llevar a cabo una
evaluación formal de riesgos.
vulnerabilidades, y los
resultados
en
una
617
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
evaluación formal de
riesgos.
12.1.3
Incluye
una
revisión al menos una
vez
al
año
y
actualizaciones
al
modificarse
el
entorno.
Paso 7.
Implementación de
las Medidas de
Seguridad
Elaborar
38
un
plan
de
trabajo
para
la
implementación de las medidas de seguridad
faltantes, derivadas del análisis de brecha.
Aplicables a los
Art. 61 - VI
Datos Personales.
Plan de Trabajo
para la
Implementación de
las Medidas de
Seguridad Faltantes.
Guías
para
seguridad
la
ante
revisión
de
modificaciones
importantes de los sistemas y
aplicaciones que manejan datos
del tarjetahabiente.
Requisito 11: Pruebe
Guías para revisar periódicamente
con
los
la seguridad de los sistemas y
sistemas y procesos
procesos que manejan los datos
de seguridad.
de los tarjetahabientes.
regularidad
12.1.2
Incluya
un
anual
que
proceso
identifique
las
amenazas,
y
vulnerabilidades, y los
resultados
en
Guías para llevar a cabo una
evaluación formal de riesgos.
una
evaluación formal de
riesgos.
12.1.3
Incluye
una
Guías
para
la
de
revisión al menos una
seguridad
vez
y
importantes de los sistemas y
al
aplicaciones que manejan datos
al
año
actualizaciones
ante
revisión
modificaciones
618
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
modificarse
el
del tarjetahabiente.
entorno.
39
Llevar a cabo revisiones o auditorías.
Art. 61 - VII
Paso 8. Revisiones y
Auditoría.
Requisito 11: Pruebe
Guías para revisar periódicamente
con
los
la seguridad de los sistemas y
sistemas y procesos
procesos que manejan los datos
de seguridad.
de los tarjetahabientes.
regularidad
12.6 Implemente un
programa formal de
concienciación
Paso 9. Mejora
40
Capacitar
al
personal
que
efectúe
el
tratamiento de datos personales.
Art. 61 - VIII
sobre
seguridad para
que
Continua y
todos los empleados
Capacitación.
tomen conciencia de
Capacitación.
la importancia de la
seguridad
de
Guías para un programa forma de
concienciación de seguridad de la
información.
los
datos de titulares de
tarjetas.
41
Realizar un registro de los medios de
almacenamiento de los datos personales.
Art. 61 - IX
Paso 5. Realizar el
9.7.1
Análisis de Riesgo
medios
de los Datos
que
Clasifique
de
se
los
manera
pueda
Guías para la clasificación de los
datos.
619
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Personales.
Identificador y
nombre
Descripción
Objetivo de Control
determinar
la
confidencialidad
de
los datos.
9.8 Asegúrese de que
la gerencia apruebe
todos y cada uno de
los
medios
que
contengan datos de
titulares
de
tarjetas
Aprobación de los medios que
contienen
datos
de
los
tarjetahabientes.
que se muevan desde
un área segura.
9.9.1 Lleve registros
de
inventario
adecuadamente
de
todos los medios y
realice inventarios de
medios
Guías para el mantenimiento de
inventarios de medios.
anualmente
como mínimo.
3. Acciones a
42
Contar con una relación de las medidas de
seguridad.
implementar para la
Art. 61
seguridad de los
datos personales
documentadas.
Requisito 1: Instale y
mantenga
configuración
firewalls
una
de
para
Guías para la configuración de
firewalls.
proteger los datos de
los titulares de las
620
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
tarjetas.
Requisito 2: No use
contraseñas
sistemas
de
y
otros
parámetros
de
seguridad
provistos
Guías
para
no
utilizar
configuraciones por defecto de los
proveedores.
por los proveedores.
Requisito
3:
Proteja
los datos del titular
Guías para la protección de datos
de
durante su almacenamiento.
la
tarjeta
que
fueron almacenados.
Requisito
4:
Cifrar
transmisión de datos
Guías para el cifrado de datos
del titular de la tarjeta
durante su transmisión por redes
en las redes públicas
abiertas.
abiertas.
Requisito 5: Utilice y
actualice
Guías
regularmente
software
el
o
los
para
la
operación
y
mantenimiento de los esquemas
de antivirus.
programas antivirus.
Requisito
6:
Desarrolle
y
mantenga sistemas y
Guías
para
el
desarrollo
aplicaciones seguras.
621
de
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
aplicaciones seguras.
Requisito 7: Restringir
el acceso a los datos
Guías
del titular de la tarjeta
privilegio para el acceso a los
según
datos.
la
necesidad
para
aplicar
el
mínimo
de saber del negocio.
Requisito 8: Asignar
una
ID exclusiva
cada
a
Guías para uso de identificadores
persona
que
únicos
acceso
por
control de acceso.
tenga
en
la
identificación
y
computadora.
Requisito 9: Restringir
el acceso físico a los
Guías para el acceso físico a los
datos del titular de la
datos.
tarjeta.
Requisito 10: Rastree
y supervise todos los
accesos a los recursos
de red y a los datos
de los titulares de las
Guías
para
el
monitoreo
y
supervisión de los accesos a los
datos y servicios de red.
tarjetas.
Requisito 11: Pruebe
Guías para revisar periódicamente
con
los
la seguridad de los sistemas y
sistemas y procesos
procesos que manejan los datos
regularidad
622
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
de seguridad.
de los tarjetahabientes.
Requisito
12:
Mantenga
una
política que aborde la
seguridad
de
información
la
para
todo el personal.
Guías para definir una política de
seguridad con responsabilidades
directas
para
maneja
los
el
personal
datos
que
de
los
tarjetahabientes.
Requisitos de las PCI
DSS adicionales para
Guías adicionales para el control
proveedores
de los proveedores de hosting
hosting
de
compartido
compartido.
(Anexo A).
6.2
Actualizar las medidas de seguridad cuando:
Establezca
proceso
43
para
I. Se modifiquen las medidas o procesos de
identificar
seguridad para su mejora continua, derivado
una clasificación
de las revisiones a la política de seguridad
riesgos
del responsable.
II. Se produzcan modificaciones sustanciales
Art. 62
Paso 8. Revisiones y
Auditoría.
un
y asignar
vulnerabilidades
de
para
de
seguridad
Guías
para
clasificación
la
de
vulnerabilidades
identificación
riesgos
de
y
antes
seguridad
informática.
en el tratamiento que deriven en un cambio
descubiertas
del nivel de riesgo.
recientemente.
III. Se vulneren los sistemas de tratamiento,
Requisito 11: Pruebe
Guías para revisar periódicamente
de conformidad con lo dispuesto en el
con
los
la seguridad de los sistemas y
artículo 20 de la Ley y 63 de su Reglamento.
sistemas y procesos
procesos que manejan los datos
regularidad
623
N°
Requerimiento normativo
IV.
Exista
una
afectación
a
los
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
datos
Identificador y
nombre
Descripción
Objetivo de Control
de seguridad.
de los tarjetahabientes.
personales distinta a las anteriores.
12.1.2
En el caso de datos personales sensibles, los
proceso
responsables procurarán revisar y, en su caso,
identifique
las
actualizar las relaciones correspondientes una
amenazas,
y
vez al año.
vulnerabilidades, y los
Incluya
un
anual
que
resultados
en
Guías para llevar a cabo una
evaluación formal de riesgos.
una
evaluación formal de
riesgos.
12.1.3
Incluye
una
revisión al menos una
vez
al
año
y
actualizaciones
al
modificarse
el
entorno.
Guías
para
seguridad
la
ante
revisión
de
modificaciones
importantes de los sistemas y
aplicaciones que manejan datos
del tarjetahabiente.
VULNERACIONES A LA SEGURIDAD
Las vulneraciones de seguridad ocurridas en
12.9.1 Cree el plan de
cualquier fase del tratamiento que afecten de
Paso 8. Revisiones y
forma significativa los derechos patrimoniales
44
o morales de los titulares, serán informadas
de forma inmediata por el responsable al
titular, a fin de que este último pueda tomar
las medidas correspondientes a la defensa de
sus derechos.
Art. 20
Art. 63
Art. 64
Auditoría.
Vulneraciones a la
respuesta a incidentes
que
implementado
será
en
Seguridad de la
caso de que ocurra
Información.
una violación de la
Guías para un plan de respuesta a
incidentes de seguridad.
seguridad del sistema.
624
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
En caso de que ocurra una vulneración a la
seguridad
de
los
datos
personales,
el
responsable deberá informar al titular al
menos lo siguiente:
12.9.1 Cree el plan de
Paso 8. Revisiones y
I. La naturaleza del incidente.
45
II. Los datos personales comprometidos.
III. Las recomendaciones al titular acerca de
Auditoría.
Art. 65
las medidas que éste pueda adoptar para
proteger sus intereses.
Vulneraciones a la
respuesta a incidentes
que
implementado
será
en
Seguridad de la
caso de que ocurra
Información.
una violación de la
Guías para un plan de respuesta a
incidentes de seguridad.
seguridad del sistema.
IV. Las acciones correctivas realizadas de
forma inmediata.
V. Los medios donde puede obtener más
información al respecto.
En caso de que ocurra una vulneración a los
datos
personales,
el
responsable
12.9.1 Cree el plan de
deberá
Paso 8. Revisiones y
analizar las causas por las cuales se presentó
46
e
implementar
las
acciones
correctivas,
Auditoría.
Art. 66
Vulneraciones a la
respuesta a incidentes
que
implementado
será
en
preventivas y de mejora para adecuar las
Seguridad de la
caso de que ocurra
medidas de seguridad correspondientes, a
Información.
una violación de la
efecto de evitar que la vulneración se repita.
Guías para un plan de respuesta a
incidentes de seguridad.
seguridad del sistema.
ENCARGADO
625
N°
Requerimiento normativo
El
encargado
tendrá
las
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
siguientes
obligaciones respecto del tratamiento que
realice por cuenta del responsable:
I. Tratar únicamente los datos personales
conforme a las instrucciones del responsable.
II. Abstenerse de tratar los datos personales
para finalidades distintas a las instruidas por
el responsable.
47
III. Implementar las medidas de seguridad
2.4 Los proveedores
conforme a la Ley, su Reglamento y las
de servicio de hosting
demás disposiciones aplicables.
compartido
IV. Guardar confidencialidad respecto de los
datos personales tratados.
Art. 50
1. Recomendación
General.
deben
proteger el entorno
hospedado
y
los
V. Suprimir los datos personales objeto de
datos del titular de la
tratamiento una vez cumplida la relación
tarjeta de la entidad.
jurídica
con
el
responsable
o
Guías
para
proveedores
evaluar
de
que
hosting
compartido estén protegiendo los
datos del tarjetahabiente.
por
instrucciones del responsable, siempre y
cuando no exista una previsión legal que
exija la conservación de los datos personales.
VI.
Abstenerse
de
transferir
los
datos
personales salvo en el caso de que el
responsable
así
lo
determine,
la
comunicación derive de una subcontratación,
o
cuando
así
lo
requiera
la
los
autoridad
626
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
competente.
SUBCONTRATACIONES
2.4 Los proveedores
de servicio de hosting
Paso 7.
Implementación de
La
relación
entre
el
responsable
y
el
las Medidas de
encargado deberá estar establecida mediante
48
cláusulas contractuales u otro instrumento
jurídico que decida el responsable, que
Seguridad
Art. 51
Aplicables a los
compartido
deben
proteger el entorno
hospedado
y
los
datos del titular de la
Guías
para
proveedores
evaluar
que
de
los
hosting
compartido estén protegiendo los
datos del tarjetahabiente.
tarjeta de la entidad.
Datos Personales.
12.8.2 Mantenga un
permita acreditar su existencia, alcance y
Cumplimiento
acuerdo escrito que
Guías para el establecimiento de
contenido.
Cotidiano de
incluya una mención
acuerdos con los proveedores de
Medidas de
de
que
los
servicios
Seguridad.
proveedores
de
responsables de la seguridad de
servicios
responsables
son
de
y
para
que
sean
los datos del tarjetahabiente.
la
627
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
seguridad
de
los
datos de titulares de
tarjetas
que
ellos
tienen en su poder.
Toda subcontratación de servicios por parte
2.4 Los proveedores
del encargado que implique el tratamiento
de servicio de hosting
de datos personales deberá ser autorizada
compartido
por el responsable, y se realizará en nombre
proteger el entorno
y por cuenta de este último.
Una
vez
obtenida
la
Paso 7.
autorización,
el
Implementación de
encargado deberá formalizar la relación con
el
49
subcontratado
a
través
de
las Medidas de
cláusulas
deben
hospedado
y
los
datos del titular de la
Guías
para
proveedores
evaluar
que
de
los
hosting
compartido estén protegiendo los
datos del tarjetahabiente.
tarjeta de la entidad.
Seguridad
12.8.2 Mantenga un
contractuales u otro instrumento jurídico que
Art. 54
Aplicables a los
acuerdo escrito que
permita acreditar su existencia, alcance y
Art. 55
Datos Personales.
incluya una mención
contenido.
Cumplimiento
de
que
los
Guías para el establecimiento de
En caso de que la subcontratación no haya
Cotidiano de
proveedores
de
acuerdos con los proveedores de
sido prevista en cláusulas contractuales, el
Medidas de
servicios
encargado deberá obtener la autorización
Seguridad.
responsables
correspondiente
del
responsable
previamente.
La
obligación
seguridad
son
de
de
la
los
servicios
y
para
que
sean
responsables de la seguridad de
los datos del tarjetahabiente.
datos de titulares de
de
acreditar
que
la
subcontratación se realizó con autorización
tarjetas
que
ellos
tienen en su poder.
628
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
del responsable corresponderá al encargado.
Requisito
A.1:
Los
proveedores
hosting
deben
de
compartidos
proteger
el
entorno de datos de
titulares de tarjetas.
Guías
específicas
para
la
protección de los datos de los
tarjetahabientes por parte de los
proveedores
de
hosting
compartido.
CÓMPUTO EN LA NUBE
50
Para el tratamiento de datos personales en
2.4 Los proveedores
servicios, aplicaciones e infraestructura en el
de servicio de hosting
denominado cómputo en la nube, en los que
compartido
el responsable se adhiera a los mismos
Paso 7.
mediante condiciones o cláusulas generales
Implementación de
de contratación, sólo podrá utilizar aquellos
las Medidas de
servicios en los que el proveedor cumpla, al
Seguridad
menos, con lo siguiente:
deben
proteger el entorno
hospedado
y
los
datos del titular de la
Guías
para
proveedores
evaluar
que
de
los
hosting
compartido estén protegiendo los
datos del tarjetahabiente.
tarjeta de la entidad.
Aplicables a los
12.8.2 Mantenga un
Datos Personales.
acuerdo escrito que
a) Tener y aplicar políticas de protección de
Cumplimiento
incluya una mención
Guías para el establecimiento de
datos personales afines a los principios y
Cotidiano de
de
que
los
acuerdos con los proveedores de
deberes aplicables que establece la Ley y su
Medidas de
proveedores
de
servicios
Reglamento;
Seguridad.
servicios
Art. 52 - I
responsables
son
de
la
b) Transparentar las subcontrataciones que
seguridad
involucren la información sobre la que se
datos de titulares de
de
y
para
que
sean
responsables de la seguridad de
los datos del tarjetahabiente.
los
629
N°
Requerimiento normativo
presta el servicio;
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
tarjetas
que
ellos
tienen en su poder.
c) Abstenerse de incluir condiciones en la
12.8.3 Asegúrese de
prestación del servicio que le autoricen o
que exista un proceso
permitan asumir la titularidad o propiedad de
establecido
la información sobre la que presta el servicio,
comprometer
y
proveedores
para
a
los
de
servicios que incluya
d) Guardar confidencialidad respecto de los
una
datos personales sobre los que se preste el
compra
servicio.
previa al compromiso.
auditoría
de
A.1:
Los
proveedores
deben
del proveedor de servicios para
proteger
los
datos
del
tarjetahabiente.
adecuada
Requisito
hosting
Guías para evaluar la capacidad
de
compartidos
proteger
el
entorno de datos de
titulares de tarjetas.
Guías
específicas
para
la
protección de los datos de los
tarjetahabientes por parte de los
proveedores
de
hosting
compartido.
630
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Para el tratamiento de datos personales en
compartido
el responsable se adhiera a los mismos
Paso 7.
de contratación, sólo podrá utilizar aquellos
Implementación de
servicios en los que el proveedor cuente con
las Medidas de
mecanismos, al menos, para:
privacidad o condiciones del servicio que
presta;
b) Permitir al responsable limitar el tipo de
tratamiento de los datos personales sobre los
que se presta el servicio;
mantener
hospedado
y
los
datos del titular de la
Guías
para
proveedores
evaluar
que
de
los
hosting
compartido estén protegiendo los
datos del tarjetahabiente.
tarjeta de la entidad.
Seguridad
a) Dar a conocer cambios en sus políticas de
y
deben
proteger el entorno
mediante condiciones o cláusulas generales
Establecer
Descripción
de servicio de hosting
denominado cómputo en la nube, en los que
c)
nombre
Objetivo de Control
2.4 Los proveedores
servicios, aplicaciones e infraestructura en el
51
Identificador y
medidas
de
seguridad adecuadas para la protección de
los datos personales sobre los que se preste
Art. 52 - II
Aplicables a los
12.8.2 Mantenga un
Datos Personales.
acuerdo escrito que
Cumplimiento
incluya una mención
Cotidiano de
de
que
los
Medidas de
proveedores
de
Seguridad.
servicios
son
responsables
seguridad
de
de
la
los
Guías para el establecimiento de
acuerdos con los proveedores de
servicios
y
para
que
sean
responsables de la seguridad de
los datos del tarjetahabiente.
datos de titulares de
tarjetas
que
ellos
tienen en su poder.
631
N°
Requerimiento normativo
el servicio;
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
12.8.3 Asegúrese de
Guías para evaluar la capacidad
que exista un proceso
del proveedor de servicios para
d) Garantizar la supresión de los datos
establecido
proteger
personales una vez que haya concluido el
comprometer
servicio prestado al responsable, y que este
proveedores
último haya podido recuperarlos, y
servicios que incluya
e) Impedir el acceso a los datos personales a
una
personas que no cuenten con privilegios de
compra
acceso, o bien en caso de que sea a solicitud
previa al compromiso.
fundada
y
competente,
motivada
informar
de
de
autoridad
ese
hecho
para
a
los
los
datos
del
tarjetahabiente.
de
auditoría
de
adecuada
al
responsable.
632
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
TRANSFERENCIAS
Cuando el responsable pretenda transferir los
datos personales a terceros nacionales o
52
12.8.2 Mantenga un
extranjeros, distintos del encargado, deberá
Paso 7.
acuerdo escrito que
comunicar a éstos el aviso de privacidad y las
Implementación de
incluya una mención
finalidades a las que el titular sujetó su
las Medidas de
de
que
los
Guías para el establecimiento de
proveedores
de
acuerdos con los proveedores de
tratamiento.
Art. 68
Seguridad
El tratamiento de los datos se hará conforme
Art. 71
Aplicables a los
Art. 72
Datos Personales.
Art. 74
Cumplimiento
seguridad
la
Cotidiano de
datos de titulares de
transferencia de sus datos, de igual manera,
Medidas de
tarjetas
el tercero receptor, asumirá las mismas
Seguridad.
tienen en su poder.
a lo convenido en el aviso de privacidad, el
cual contendrá una cláusula en la que se
indique
si
el
obligaciones
titular
que
acepta
o
no
correspondan
Art. 36
servicios
son
responsables
de
de
que
la
los
servicios
y
para
que
sean
responsables de la seguridad de
los datos del tarjetahabiente.
ellos
al
responsable que transfirió los datos.
Paso 7.
Para
efectos
transferencia,
de
demostrar
sea
ésta
que
la
nacional
o
Implementación de
las Medidas de
Seguridad
internacional, se realiza conforme a lo que
53
establece la Ley y su Reglamento, la carga de
la prueba recaerá, en todos los casos, en el
responsable que transfiere y en el receptor
de los datos personales.
Art. 69
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
633
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Desarrollar
y
mantener
una
red
segura.
En
el
caso
de
transferencias
de
datos
de comunicaciones.
Proteger los datos del
Guías para protección de datos
titular de la tarjeta.
del tarjetahabiente.
personales entre sociedades controladoras,
Mantener
un
subsidiarias o afiliadas bajo el control común
programa
de
Guías
del mismo grupo del responsable, o a una
administración
de
vulnerabilidades de seguridad.
sociedad matriz o a cualquier sociedad del
vulnerabilidad.
mismo grupo del responsable, el mecanismo
Implementar medidas
para garantizar que el receptor de los datos
54
Guías para tener una red segura
personales cumplirá con las disposiciones
previstas en la Ley, su Reglamento y demás
Art. 70
1. Recomendación
General
sólidas de control de
para
gestión
de
Guías para el control de acceso.
acceso.
Supervisar y evaluar
Guías para la revisión periódica de
normativa aplicable, podrá ser la existencia
las
de normas internas de protección de datos
regularidad.
personales cuya observancia sea vinculante,
Mantener una política
Guías para definir y mantener una
siempre y cuando éstas cumplan con lo
de
política
establecido en la Ley, su
información.
demás normativa aplicable.
Reglamento y
redes
seguridad
con
de
seguridad de la red.
de
seguridad
de
la
información.
Requisitos de las PCI
DSS adicionales para
Guías para controlar la seguridad
proveedores
cuando se emplean a proveedores
hosting
de
compartido
de hosting compartido.
(Anexo A).
634
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Paso 7.
Implementación de
La
transferencia
deberá
formalizarse
las Medidas de
mediante algún mecanismo que permita
55
Seguridad
demostrar que el responsable transferente
Art. 73
Aplicables a los
comunicó
Art. 75
Datos Personales.
al
responsable
receptor
las
condiciones en las que el titular consintió el
Cumplimiento
tratamiento de sus datos personales.
Cotidiano de
Medidas de
Seguridad.
Identificador y
nombre
Descripción
Objetivo de Control
12.8.2 Mantenga un
acuerdo escrito que
incluya una mención
de
que
los
Guías para el establecimiento de
proveedores
de
acuerdos con los proveedores de
servicios
son
responsables
seguridad
de
de
la
los
servicios
y
para
que
sean
responsables de la seguridad de
los datos del tarjetahabiente.
datos de titulares de
tarjetas
que
ellos
tienen en su poder.
635
4.20 HIPAA, Health Insurance Portability and Accountability Act.
Introducción. HIPAA es la Ley de Portabilidad y Responsabilidad del Seguro Médico, aplicable en Estados Unidos, su
objetivo fundamental es facilitar a las personas mantener un seguro médico, proteger la confidencialidad y seguridad
de la información médica, y ayudar a la industria de la salud a controlar los costos administrativos.
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
RESPONSABLE
Provisiones generales, estándares
de seguridad para la protección
Los responsables en el tratamiento de datos
de
personales, deberán observar los principios
1
de
licitud,
consentimiento,
información,
calidad, finalidad, lealtad, proporcionalidad y
Art. 6
Art. 9
1. Recomendación
General.
información
electrónica
de
Parte 164 Seguridad y
salud, notificación en caso de
Privacidad.
vulneración a la
seguridad de
información de salud, privacidad
responsabilidad, previstos en la Ley.
de
información
de
salud
identificable a la persona.
LICITUD Y LEALTAD
636
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Los datos personales deberán recabarse y
tratarse de manera lícita, privilegiando la
protección de los intereses del titular y la
expectativa
2
razonable
de
privacidad,
164.502
sin
importar la fuente de la que se obtienen los
datos.
Art. 7
Art. 7
Art. 10
Art. 44
Paso 1. Alcance y
Objetivos.
Usos
revelaciones
y
de
información protegida
de
salud:
Reglas
generales.
La obtención de datos personales no debe
Disposiciones
para
revelaciones
usos
y
solamente
autorizados con respecto a la
información de salud.
hacerse a través de medios engañosos o
fraudulentos.
CONSENTIMIENTO
164.506
El tratamiento de datos personales estará
revelaciones
sujeto al consentimiento de su titular, salvo
llevar
las excepciones previstas por la Ley.
Los
3
datos
financieros
o
patrimoniales
Art. 11
requerirán consentimiento expreso de su
Art. 12
titular.
Cuando los datos personales se obtengan
personalmente o de manera directa de su
titular, el consentimiento deberá ser previo al
tratamiento.
Usos
Art. 8
Art. 15
a
cabo
y
Disposiciones
para
revelaciones
el
autorizados
para
usos
y
solamente
con
respecto
al
tratamiento, pago, u
tratamiento, pago, u operaciones
operaciones de salud.
de salud.
Paso 2. Política de
164.508
Disposiciones
Gestión de Datos
revelaciones para las
revelaciones
cuales
autorizados
Personales.
Usos
se
y
requiere
autorización.
164.510
Usos
para
usos
y
solamente
de
información
de
salud.
y
Disposiciones
para
usos
y
revelaciones
que
revelaciones siempre y cuando el
requieren
una
individuo
oportunidad para el
haya
otorgado
consentimiento.
637
su
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
individuo de acordar
y objetar.
164.506
Usos
revelaciones
llevar
El responsable deberá facilitar al titular
4
medios sencillos y gratuitos para manifestar
Art. 8
Art. 16
su consentimiento expreso.
a
cabo
y
Disposiciones
para
revelaciones
el
autorizados
usos
y
solamente
con
respecto
al
tratamiento, pago, u
tratamiento, pago, u operaciones
operaciones de salud.
de salud.
164.508
Disposiciones
Usos
y
Paso 2. Política de
revelaciones para las
revelaciones
Gestión de Datos
cuales
autorizados
Personales.
para
se
requiere
autorización.
164.510
para
usos
y
solamente
de
información
de
salud.
Usos
y
revelaciones
que
Disposiciones
para
requieren
una
revelaciones siempre y cuando el
oportunidad para el
individuo
haya
individuo de acordar
consentimiento.
usos
otorgado
y
su
y objetar.
Tratándose de datos personales sensibles, el
responsable
5
deberá
obtener
el
consentimiento expreso y por escrito del
titular
para
su
164.506
tratamiento.
Art. 9
Art. 56
Usos
Paso 2. Política de
revelaciones
Gestión de Datos
llevar
Personales.
a
cabo
y
Disposiciones
para
revelaciones
el
autorizados
para
usos
y
solamente
con
respecto
al
tratamiento, pago, u
tratamiento, pago, u operaciones
operaciones de salud.
de salud.
638
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
No podrán crearse bases de datos que
164.508
contengan datos personales sensibles, sin
revelaciones para las
revelaciones
que se justifique la creación de las mismas
cuales
autorizados
para
autorización.
finalidades
legítimas,
concretas
y
Usos
se
y
requiere
Disposiciones
para
usos
y
solamente
de
información
de
salud.
acordes con las actividades o fines explícitos
164.510
que persigue el sujeto regulado.
revelaciones
que
Disposiciones
requieren
una
revelaciones siempre y cuando el
Usos
y
para
oportunidad para el
individuo
haya
individuo de acordar
consentimiento.
usos
otorgado
y
su
y objetar.
164.506
Usos
revelaciones
Paso 7.
Para efectos de demostrar la obtención del
6
consentimiento,
recaerá,
en
responsable.
la
todos
carga
los
de
la
casos,
prueba
en
el
a
cabo
Disposiciones
para
revelaciones
el
autorizados
para
usos
y
solamente
con
respecto
al
Implementación de
tratamiento, pago, u
tratamiento, pago, u operaciones
las Medidas de
operaciones de salud.
de salud.
164.508
Disposiciones
Seguridad
Art. 20
llevar
y
Aplicables a los
Datos Personales.
Usos
y
revelaciones para las
revelaciones
cuales
autorizados
se
requiere
Cumplimiento
autorización.
Cotidiano de
164.510
Medidas de
revelaciones
que
Seguridad.
requieren
una
Usos
para
usos
y
solamente
de
información
de
salud.
y
oportunidad para el
individuo de acordar
Disposiciones
para
usos
y
revelaciones siempre y cuando el
individuo
haya
otorgado
consentimiento.
639
su
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
y objetar.
INFORMACIÓN
A
través
del
aviso
de
privacidad,
el
responsable tendrá la obligación de informar
a los titulares, los datos que recaba, las
finalidades necesarias y las que no lo son
para
la
relación
jurídica,
así
como
las
características principales de su tratamiento.
Art. 14
Cuando se traten datos personales como
7
parte de un proceso de toma de decisiones
sin que intervenga la valoración de una
persona
física,
el
responsable
deberá
Art. 15
Art. 23
Art. 112
Paso 2. Política de
Gestión de Datos
Personales.
164.520 Prácticas para
Disposiciones
para
el aviso de privacidad
implementación
para información de
privacidad para la información de
salud protegida.
salud.
de
la
avisos
informar al titular que esta situación ocurre.
Si obtiene los datos de manera automática,
deberá informar al titular sobre el uso de
estas tecnologías y la forma en que podrá
deshabilitarlas.
640
de
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
Implementación de
Cuando los datos personales sean obtenidos
directamente
8
del
titular,
el
aviso
las Medidas de
de
privacidad debe ponerse a disposición de los
Art. 3, I
titulares a través de formatos impresos,
Art. 17
Art. 27
Seguridad
164.520 Prácticas para
Disposiciones
Aplicables a los
el aviso de privacidad
implementación
Datos Personales.
para información de
privacidad para la información de
salud protegida.
salud.
Seguridad
164.520 Prácticas para
Disposiciones
Aplicables a los
el aviso de privacidad
implementación
Datos Personales.
para información de
privacidad para la información de
salud protegida.
salud.
digitales, visuales, sonoros o cualquier otra
Cumplimiento
tecnología.
Cotidiano de
para
de
la
avisos
de
Medidas de
Seguridad.
Paso 7.
El aviso de privacidad
debe contener un
mecanismo,
el
para
que
titular
Implementación de
las Medidas de
pueda
manifestar su negativa al tratamiento de sus
9
datos
personales.
Cuando
los
datos
se
obtengan de manera indirecta del titular, el
responsable deberá darle a conocer el aviso
de privacidad y sus cambios.
Art. 14
Art. 18
Art. 29
Art. 32
Cumplimiento
para
de
la
avisos
Cotidiano de
Medidas de
Seguridad
641
de
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
Implementación de
las Medidas de
Para efectos de demostrar la puesta a
disposición
10
del
aviso
de
privacidad
en
cumplimiento del principio de información, la
Art. 31
carga de la prueba recaerá, en todos los
Seguridad
164.520 Prácticas para
Disposiciones
Aplicables a los
el aviso de privacidad
implementación
Datos Personales.
para información de
privacidad para la información de
salud protegida.
salud.
Cumplimiento
casos, en el responsable.
para
de
la
avisos
de
Cotidiano de
Medidas de
Seguridad.
CALIDAD
164.312(b)
de auditoría.
El responsable procurará que los datos
personales contenidos en las bases de datos
11
sean
exactos,
completos,
pertinentes,
correctos y actualizados según se requiera
para el cumplimiento de la finalidad para la
cual son tratados.
Controles
Paso 2. Política de
Art. 11
Art. 36
Gestión de Datos
Personales.
los
registrar
sistemas
y
que
Políticas y procedimientos para
proteger la integridad información
Integridad.
electrónica de salud.
164.312(e)(1)
transmisión.
examinar
para
contienen información de salud.
164.312(c)(1)
Seguridad
Mecanismos
Medidas
en
la
técnicas
para
la
protección de la información de
salud transmitida por la red.
642
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Cuando los datos de carácter personal hayan
dejado
de
ser
necesarios
para
el
cumplimiento de las finalidades previstas por
el aviso de privacidad y las disposiciones
legales aplicables, deberán ser cancelados,
previo bloqueo de los mismos.
12
Art. 3 III
El responsable de la base de datos estará
Art. 11
Paso 2. Política de
Art. 37
Personales.
obligado a eliminar la información relativa al
incumplimiento
de
Gestión de Datos
Políticas y procedimientos para la
164.310(d)(2)(i)
eliminación segura de información
Eliminación.
de salud en donde se encuentre
almacenada.
obligaciones
contractuales, una vez que transcurra un
plazo de setenta y dos meses, contado a
partir de la fecha calendario en que se
presente el mencionado incumplimiento.
El responsable establecerá y documentará
13
procedimientos para la conservación y, en su
caso, bloqueo y supresión de los datos
personales.
Paso 2. Política de
Art. 38
Gestión de Datos
Personales.
Políticas y procedimientos para la
164.310(d)(2)(i)
eliminación segura de información
Eliminación.
de salud en donde se encuentre
almacenada.
643
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
Implementación de
las Medidas de
Seguridad
Al responsable le corresponde demostrar que
14
los datos personales se conservan, o en su
Art. 39
caso, bloquean, suprimen o cancelan.
Aplicables a los
Datos Personales.
Políticas y procedimientos para la
164.310(d)(2)(i)
eliminación segura de información
Eliminación.
de salud en donde se encuentre
Cumplimiento
almacenada.
Cotidiano de
Medidas de
Seguridad.
FINALIDAD
El tratamiento de datos personales deberá
limitarse al cumplimiento de las finalidades
previstas en el aviso de privacidad.
Si el responsable pretende tratar los datos
para un fin distinto al establecido, deberá
obtener nuevamente el consentimiento del
15
titular.
Art. 12
Art. 40
Paso 2. Política de
Art. 42
Gestión de Datos
Art. 43
Personales.
El titular podrá oponerse o revocar su
164.520 Prácticas para
Disposiciones
para
el aviso de privacidad
implementación
para información de
privacidad para la información de
salud protegida.
salud.
de
la
avisos
consentimiento para las finalidades distintas
a las que dieron origen a la relación jurídica,
sin que ello tenga como consecuencia la
conclusión del tratamiento.
PROPORCIONALIDAD
644
de
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
El tratamiento de datos personales será el
que resulte necesario, adecuado y relevante
en relación con las finalidades previstas en el
16
aviso de privacidad. En particular para datos
Art. 13
personales sensibles, el responsable deberá
Art. 45
Art. 46
Paso 2. Política de
Gestión de Datos
Personales.
limitar el periodo de tratamiento al mínimo
164.520 Prácticas para
Disposiciones
para
el aviso de privacidad
implementación
para información de
privacidad para la información de
salud protegida.
salud.
de
la
avisos
de
indispensable.
CONFIDENCIALIDAD
164.308(b)(1)
Contratos con socios
El responsable o terceros que intervengan en
y
cualquier fase del tratamiento de datos
17
personales deberán guardar confidencialidad
respecto de éstos, obligación que subsistirá
aun después de finalizar sus relaciones con el
Art. 21
Art. 9
asociados
Paso 2. Política de
negocio
Gestión de Datos
acuerdos.
y
Personales.
164.308(b)(4)
titular o, en su caso, con el responsable.
Contrato escrito.
de
otros
Disposiciones
establecimiento
para
de
el
contratos
y
acuerdos con socios y asociados
de negocio.
Disposiciones para la celebración
de un contrato escrito con los
asociados de negocio.
RESPONSABILIDAD
645
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
El responsable tiene la obligación de velar y
responder por el tratamiento de los datos
Provisiones generales, estándares
personales en su posesión, debiendo adoptar
de seguridad para la protección
las medidas necesarias.
Paso 2. Política de
18
El responsable deberá tomar las medidas
Art. 14
Art. 47
necesarias y suficientes para garantizar que el
Gestión de Datos
Personales.
de
información
electrónica
de
Parte 164 Seguridad y
salud, notificación en caso de
Privacidad.
vulneración a la
seguridad de
información de salud, privacidad
aviso de privacidad dado a conocer al titular,
de
sea respetado en todo momento por él o
información
de
salud
identificable a la persona.
por terceros con los que guarde alguna
relación jurídica.
Disposiciones
Los responsables deberán adoptar medidas
19
para
garantizar
el
debido
tratamiento,
privilegiando los intereses del titular y la
Paso 5. Realizar el
Art. 14
Art. 48
expectativa razonable de privacidad.
de
la
164.308(a)(1)(ii)(A)
implementación
Evaluación del riesgo.
privacidad para la información de
avisos
de
salud.
Análisis de Riesgo
de los Datos
Personales.
para
Disposiciones
para
de
la
164.308(a)(1)(ii)(B)
implementación
avisos
de
Gestión del riesgo.
privacidad para la información de
salud.
Elaborar políticas y programas de privacidad
20
obligatorios y exigibles al interior de la
organización.
Art. 48 - I
Paso 2. Política de
164.308(a)(1)(i)
Gestión de Datos
Proceso
Personales.
de
gestión
de la seguridad.
Implementación
de
procedimientos
para
detectar,
contener
políticas
y
prevenir,
y
corregir
violaciones a la seguridad.
646
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Aplicación de sanciones a quienes
164.308(a)(1)(ii)(C)
caen en incumplimiento con las
Política de sanción.
políticas
y
procedimientos
de
seguridad.
Poner
21
en
práctica
un
programa
de
capacitación, actualización, y concientización
del
personal
sobre
las
obligaciones
en
Art. 48 - II
materia de protección de datos personales.
Establecer
22
un
sistema
de
supervisión
Implementación de un programa
Paso 9. Mejora
164.308(a)(5)(i)
Continua y
Entrenamiento
Capacitación.
concientización
Capacitación.
seguridad.
y
de
externas para comprobar el cumplimiento de
Paso 8. Revisiones y
Auditoría.
niveles
de
la
periódica
de
una
Evaluación.
para la evaluación de la seguridad
de la información de salud.
Paso 3. Establecer
los programas y políticas de privacidad.
los
de seguridad a
evaluación técnica y no técnica
164.308(a)(1)(i)
Destinar recursos para la instrumentación de
todos
y
164.308(a)(8)
las políticas de privacidad.
23
concientización
Ejecución
Art. 48 - III
entrenamiento
organización.
y
vigilancia interna, verificaciones o auditorías
de
Funciones y
Art. 48 - IV
Proceso
de
gestión
de la seguridad.
Obligaciones de
Quienes Traten
Datos Personales.
Implementación
de
procedimientos
para
detectar,
contener
políticas
y
prevenir,
y
corregir
violaciones a la seguridad.
Disposiciones
para
de
la
164.308(a)(1)(ii)(B)
implementación
avisos
Gestión del riesgo.
privacidad para la información de
salud.
647
de
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Instrumentar un procedimiento para que se
Paso 5. Realizar el
atienda el riesgo para la protección de datos
24
personales por la implementación de nuevos
Art. 48 - V
productos, servicios, tecnologías y modelos
25
periódicamente
las
políticas
Art. 48 - VI
modificaciones que se requieran.
Paso 8. Revisiones y
Auditoría.
Implementación de
las Medidas de
26
procedimientos
para
Descripción
Disposiciones para llevar a cabo la
164.308(a)(1)(ii)(A)
Evaluación del riesgo.
evaluación del riesgo sobre la
información de salud.
Disposiciones para la gestión del
164.308(a)(1)(ii)(B)
riesgo sobre la información de
Gestión del riesgo.
salud.
periódica
de
una
164.308(a)(8)
evaluación técnica y no técnica
Evaluación.
para la evaluación de la seguridad
de la información de salud.
Paso 7.
Establecer
nombre
Objetivo de Control
Ejecución
y
programas de seguridad para determinar las
de los Datos
Personales.
de negocios, así como para mitigarlos.
Revisar
Análisis de Riesgo
Identificador y
recibir
Seguridad
y
responder dudas y quejas de los titulares de
Art. 48 - VII
los datos personales.
164.524
Acceso
individuos
de
a
información de salud
protegida.
Disposiciones
acceso
a
para
las
otorgar
personas
a
el
su
información de salud.
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
164.526
de
Corrección
información
salud protegida.
de
Disposiciones
para
que
las
personas requieran la corrección
de su información de salud.
Seguridad.
Disponer
27
de
mecanismos
para
el
cumplimiento de las políticas y programas de
privacidad, así como de sanciones por su
incumplimiento.
Paso 3. Funciones y
Art. 48 - VIII
Aplicación de sanciones a quienes
Obligaciones de
164.308(a)(1)(ii)(C)
caen en incumplimiento con las
Quienes Traten
Política de sanción.
políticas
Datos Personales.
y
procedimientos
seguridad.
648
de
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
164.308 Salvaguardas
administrativas.
Establecer medidas para el aseguramiento de
de acciones técnicas y administrativas que
permitan garantizar al responsable el
Identificación de las
Art. 48 - IX
medidas de
164.310 Salvaguardas
físicas.
164.312 Salvaguardas
técnicas.
164.524
Establecer medidas para la trazabilidad de los
Paso 6.
datos personales, es decir acciones, medidas
Identificación de las
permiten
rastrear a los datos personales durante su
tratamiento.
administrativos para la protección
Art. 48 - X
medidas de
seguridad y Análisis
de Brecha.
Acceso
de
a
información de salud
protegida.
de
la protección de información de
Conjunto de controles técnicos
para la protección de información
de salud.
individuos
164.526
Conjunto de controles físicos para
salud.
de Brecha.
que establece la Ley y su Reglamento.
y procedimientos técnicos que
controles
de información de salud.
seguridad y Análisis
cumplimiento de los principios y obligaciones
29
de
Paso 6.
los datos personales, es decir, un conjunto
28
Conjunto
Corrección
información
salud protegida.
de
Disposiciones
acceso
a
las
para
otorgar
personas
a
el
su
información de salud.
Disposiciones
para
que
las
personas requieran la corrección
de su información de salud.
649
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
Implementación de
Todo responsable deberá designar a una
persona,
o
personales,
30
departamento
quien
dará
de
las Medidas de
datos
trámite
a
Seguridad
las
solicitudes de los titulares, para el ejercicio
Aplicables a los
Art. 30
Datos Personales.
de los derechos a que se refiere la Ley.
Cumplimiento
Asimismo fomentará la protección de datos
164.308(a)(2)
Asignación
Asignación de oficial de seguridad
de
responsabilidad
la
de
seguridad.
responsable
del
implementación
desarrollo
e
políticas
y
de
procedimientos de seguridad.
Cotidiano de
personales al interior de la organización.
Medidas de
Seguridad.
SEGURIDAD
Todo
responsable
tratamiento
de
que
datos
lleve
a
personales
cabo
deberá
Disposiciones
establecer y mantener medidas de seguridad
administrativas,
permitan
técnicas
proteger
los
y
físicas
datos
que
personales
31
o el uso, acceso o tratamiento no autorizado.
No
adoptarán
medidas
de
seguridad
menores a aquellas que mantengan para el
manejo de su información.
Cuando el encargado se encuentre ubicado
Art. 19
Art. 4
Identificación de las
Art. 9
medidas de
Art. 57
seguridad y Análisis
de
la
164.308(a)(1)(ii)(A)
implementación
Evaluación del riesgo.
privacidad para la información de
Paso 6.
contra daño, pérdida, alteración, destrucción
para
avisos
de
salud.
de Brecha.
Disposiciones
para
de
la
164.308(a)(1)(ii)(B)
implementación
avisos
Gestión del riesgo.
privacidad para la información de
salud.
en territorio mexicano, le serán aplicables las
650
de
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
disposiciones relativas a las medidas de
seguridad contenidas en el Capítulo III de
Reglamento.
El responsable determinará las medidas de
Disposiciones para llevar a cabo la
seguridad aplicables a los datos personales
164.308(a)(1)(ii)(A)
que trate, considerando el riesgo existente,
Evaluación del riesgo.
las posibles consecuencias para los titulares,
la sensibilidad de los datos y el desarrollo
riesgo sobre la información de
Gestión del riesgo.
De
manera
adicional,
el
164.308(a)(1)(ii)(D)
Paso 5. Realizar el
elementos:
I. El número de titulares;
Art. 19
II. Las vulnerabilidades previas ocurridas en
los sistemas de tratamiento;
III.
El
riesgo
por
el
valor
Art. 60
Análisis de Riesgo
de los Datos
Revisión
no
autorizada
la
registros
de
sistemas
información
que
de información.
información de salud.
de
contienen
Personales.
potencial
los datos personales tratados para una
persona
de
Procedimientos para la revisión de
actividad del sistema
cuantitativo o cualitativo que pudieran tener
tercera
salud.
responsable
procurará tomar en cuenta los siguientes
32
información de salud.
Disposiciones para la gestión del
164.308(a)(1)(ii)(B)
tecnológico.
evaluación del riesgo sobre la
para
su
posesión, y
IV. Demás factores que puedan incidir en el
Ejecución
periódica
de
una
164.308(a)(8)
evaluación técnica y no técnica
Evaluación.
para la evaluación de la seguridad
de la información de salud.
nivel de riesgo o que resulten de otras leyes
o regulación aplicable al responsable.
651
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Políticas y procedimientos para la
164.310(d)(1)
33
Elaborar un inventario de datos personales y
de los sistemas de tratamiento.
Paso 4. Elaborar un
Art. 61 - I
Inventario de Datos
Personales.
Controles
en
dispositivos y medios.
Determinar las funciones y obligaciones de
las personas que traten datos personales.
Art. 61 - II
Autorización
Quienes Traten
supervisión.
35
Paso 5. Realizar el
personales
Análisis de Riesgo
que
consiste
en
identificar
peligros y estimar los riesgos a los datos
Art. 61 - III
personales.
de los Datos
y/o
164.308(a)(1)(ii)(A)
Evaluación del riesgo.
Personales.
medios
con
información de salud.
de
Procedimientos
Datos Personales.
Contar con un análisis de riesgos de datos
y
de
políticas
y
de información de salud.
164.308(a)(3)(ii)(A)
Obligaciones de
dispositivos
remoción
procedimientos para la protección
Paso 3. Establecer
34
y
Documentación
164.316(b)(1)
Documentación.
Funciones y
recepción
para
la
autorización y/o supervisión de
empleados
que
acceden
a
información de salud.
Disposiciones para llevar a cabo la
evaluación del riesgo sobre la
información de salud.
Paso 6.
Establecer
36
las
medidas
de
seguridad
aplicables a los datos personales e identificar
aquéllas implementadas de manera efectiva.
Identificación de las
Art. 61 - IV
medidas de
seguridad y Análisis
164.308(a)(1)(ii)(B)
Gestión del riesgo.
Disposiciones para la gestión del
riesgo sobre la información de
salud.
de Brecha.
652
N°
37
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Realizar el análisis de brecha que consiste en
Paso 6.
la diferencia de las medidas de seguridad
Identificación de las
existentes y aquéllas faltantes que resultan
Art. 61 - V
necesarias para la protección de los datos
medidas de
seguridad y Análisis
personales.
Identificador y
nombre
Descripción
Objetivo de Control
Ejecución
periódica
de
una
164.308(a)(8)
evaluación técnica y no técnica
Evaluación.
para la evaluación de la seguridad
de la información de salud.
de Brecha.
Paso 7.
Implementación de
las Medidas de
Seguridad
Elaborar
38
un
plan
de
trabajo
para
la
implementación de las medidas de seguridad
Aplicables a los
Art. 61 - VI
faltantes, derivadas del análisis de brecha.
Datos Personales.
Plan de Trabajo
164.308(a)(1)(ii)(B)
Gestión del riesgo.
Disposiciones para la gestión del
riesgo sobre la información de
salud.
para la
Implementación de
las Medidas de
Seguridad Faltantes.
Ejecución
39
Llevar a cabo revisiones o auditorías.
Art. 61 - VII
periódica
de
una
164.308(a)(8)
evaluación técnica y no técnica
Evaluación.
para la evaluación de la seguridad
de la información de salud.
Paso 8. Revisiones y
Auditoría.
Actualización
periódica
de
la
164.316(b)(2)(iii)
documentación ante cambios que
Actualizaciones.
afectan
la
seguridad
de
información de salud.
653
la
N°
40
Requerimiento normativo
Capacitar
al
personal
que
efectúe
el
tratamiento de datos personales.
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Art. 61 - VIII
41
los medios de
almacenamiento de los datos personales.
Continua y
Entrenamiento
Capacitación.
concientización
Capacitación.
seguridad.
de los Datos
Personales.
Descripción
Implementación de un programa
164.308(a)(5)(i)
Análisis de Riesgo
Art. 61 - IX
nombre
Objetivo de Control
Paso 9. Mejora
Paso 5. Realizar el
Realizar un registro de
Identificador y
y
de
en
dispositivos y medios.
164.308(a)(1)(i)
gestión
de la seguridad.
3. Acciones a
42
Contar con una relación de las medidas de
seguridad.
Art. 61
seguridad de los
164.308 Salvaguardas
administrativas.
datos personales
documentadas.
todos
de seguridad a
los
niveles
recepción
y
dispositivos
de
la
164.310 Salvaguardas
físicas.
remoción
de
medios
con
y
información de salud.
Documentación
164.316(b)(1)
Documentación.
implementar para la
concientización
y
Políticas y procedimientos para la
Controles
de
entrenamiento
organización.
164.310(d)(1)
Proceso
de
de
políticas
y
procedimientos para la protección
de información de salud.
Implementación
de
procedimientos
para
detectar,
contener
políticas
y
prevenir,
y
corregir
violaciones a la seguridad.
Conjunto
de
controles
administrativos para la protección
de información de salud.
Conjunto de controles físicos para
la protección de información de
salud.
164.312 Salvaguardas
Conjunto de controles técnicos
técnicas.
para la protección de información
654
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
de salud.
Actualizar las medidas de seguridad cuando:
Disposiciones para llevar a cabo la
I. Se modifiquen las medidas o procesos de
164.308(a)(1)(ii)(A)
seguridad para su mejora continua, derivado
Evaluación del riesgo.
de las revisiones a la política de seguridad
evaluación del riesgo sobre la
información de salud.
del responsable.
II. Se produzcan modificaciones sustanciales
43
Disposiciones para la gestión del
164.308(a)(1)(ii)(B)
en el tratamiento que deriven en un cambio
del nivel de riesgo.
Art. 62
III. Se vulneren los sistemas de tratamiento,
Paso 8. Revisiones y
riesgo sobre la información de
Gestión del riesgo.
salud.
Auditoría.
de conformidad con lo dispuesto en el
artículo 20 de la Ley y 63 de su Reglamento.
IV.
Exista
una
afectación
a
los
Ejecución
datos
periódica
de
una
personales distinta a las anteriores.
164.308(a)(8)
evaluación técnica y no técnica
En el caso de datos personales sensibles, los
Evaluación.
para la evaluación de la seguridad
de la información de salud.
responsables procurarán revisar y, en su caso,
actualizar las relaciones correspondientes una
vez al año.
VULNERACIONES A LA SEGURIDAD
44
Las vulneraciones de seguridad ocurridas en
cualquier fase del tratamiento que afecten de
Art. 20
Art. 63
Paso 8. Revisiones y
164.308(a)(6)(i)
Art. 64
Auditoría.
Procedimientos
Políticas y procedimientos para el
de
manejo
de
incidentes
655
de
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
forma significativa los derechos patrimoniales
Vulneraciones a la
incidentes
o morales de los titulares, serán informadas
Seguridad de la
seguridad.
de forma inmediata por el responsable al
Información.
titular, a fin de que este último pueda tomar
Descripción
Objetivo de Control
de
164.308(a)(6)(ii)
Respuesta y reporte.
las medidas correspondientes a la defensa de
sus derechos.
164.314(b)(2)(iv)
Reporte de incidentes
de seguridad.
164.308(a)(6)(i)
En caso de que ocurra una vulneración a la
seguridad
de
los
datos
personales,
el
responsable deberá informar al titular al
Paso 8. Revisiones y
menos lo siguiente:
45
Auditoría.
Art. 65
I. La naturaleza del incidente.
II. Los datos personales comprometidos.
III. Las recomendaciones al titular acerca de
Procedimientos
de
incidentes
de
seguridad.
seguridad.
Actividades
para
responder
a
identificar
incidentes
y
de
seguridad.
Actividades para el reporte de
incidentes de seguridad.
Políticas y procedimientos para el
manejo
de
incidentes
de
seguridad.
Vulneraciones a la
Seguridad de la
Información.
164.308(a)(6)(ii)
Respuesta y reporte.
Actividades
para
responder
a
identificar
incidentes
seguridad.
las medidas que éste pueda adoptar para
656
y
de
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
proteger sus intereses.
IV. Las acciones correctivas realizadas de
forma inmediata.
164.314(b)(2)(iv)
V. Los medios donde puede obtener más
Reporte de incidentes
información al respecto.
de seguridad.
164.308(a)(6)(i)
En caso de que ocurra una vulneración a los
datos
personales,
el
responsable
deberá
Paso 8. Revisiones y
analizar las causas por las cuales se presentó
46
e
implementar
las
acciones
correctivas,
Auditoría.
Art. 66
Vulneraciones a la
preventivas y de mejora para adecuar las
Seguridad de la
medidas de seguridad correspondientes, a
Información.
efecto de evitar que la vulneración se repita.
Procedimientos
de
incidentes
de
seguridad.
164.308(a)(6)(ii)
Respuesta y reporte.
164.314(b)(2)(iv)
Reporte de incidentes
de seguridad.
Actividades para el reporte de
incidentes de seguridad.
Políticas y procedimientos para el
manejo
de
incidentes
de
seguridad.
Actividades
para
responder
a
identificar
incidentes
y
de
seguridad.
Actividades para el reporte de
incidentes de seguridad.
ENCARGADO
657
N°
Requerimiento normativo
El
encargado
tendrá
las
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
siguientes
obligaciones respecto del tratamiento que
164.308(b)(1)
realice por cuenta del responsable:
Contratos con socios
y
asociados
I. Tratar únicamente los datos personales
negocio
conforme a las instrucciones del responsable.
acuerdos.
y
de
otros
Disposiciones
establecimiento
para
de
el
contratos
y
acuerdos con socios y asociados
de negocio.
II. Abstenerse de tratar los datos personales
para finalidades distintas a las instruidas por
el responsable.
164.308(b)(4)
III. Implementar las medidas de seguridad
Contrato escrito.
conforme a la Ley, su Reglamento y las
demás disposiciones aplicables.
47
IV. Guardar confidencialidad respecto de los
datos personales tratados.
Art. 50
1. Recomendación
General.
164.308 Salvaguardas
administrativas.
V. Suprimir los datos personales objeto de
164.310 Salvaguardas
tratamiento una vez cumplida la relación
físicas.
jurídica
con
el
responsable
o
por
instrucciones del responsable, siempre
Disposiciones para la celebración
de un contrato escrito con los
asociados de negocio.
Conjunto
de
controles
administrativos para la protección
de información de salud.
Conjunto de controles físicos para
la protección de información de
salud.
y
cuando no exista una previsión legal que
exija la conservación de los datos personales.
VI.
Abstenerse
de
transferir
los
datos
personales salvo en el caso de que el
responsable
así
lo
determine,
164.312 Salvaguardas
técnicas.
Conjunto de controles técnicos
para la protección de información
de salud.
la
comunicación derive de una subcontratación,
o
cuando
así
lo
requiera
la
autoridad
658
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
competente.
SUBCONTRATACIONES
164.308(b)(1)
Paso 7.
Implementación de
La
relación
entre
el
responsable
y
el
las Medidas de
encargado deberá estar establecida mediante
48
cláusulas contractuales u otro instrumento
jurídico que decida el responsable, que
Seguridad
Art. 51
Contratos con socios
y
asociados
negocio
y
acuerdos.
de
otros
Disposiciones
establecimiento
para
de
el
contratos
y
acuerdos con socios y asociados
de negocio.
Aplicables a los
Datos Personales.
permita acreditar su existencia, alcance y
Cumplimiento
contenido.
Cotidiano de
164.308(b)(4)
Medidas de
Contrato escrito.
Disposiciones para la celebración
de un contrato escrito con los
asociados de negocio.
Seguridad.
659
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Toda subcontratación de servicios por parte
del encargado que implique el tratamiento
de datos personales deberá ser autorizada
164.308(b)(1)
por el responsable, y se realizará en nombre
Contratos con socios
y por cuenta de este último.
y
Una
vez
obtenida
la
autorización,
Paso 7.
el
Implementación de
encargado deberá formalizar la relación con
el
subcontratado
a
través
de
contractuales u otro instrumento jurídico que
49
permita acreditar su existencia, alcance y
contenido.
En caso de que la subcontratación no haya
sido prevista en cláusulas contractuales, el
encargado deberá obtener la autorización
correspondiente
del
las Medidas de
cláusulas
responsable
obligación
de
acreditar
que
negocio
y
acuerdos.
de
otros
establecimiento
para
de
el
contratos
y
acuerdos con socios y asociados
de negocio.
Seguridad
Art. 54
Aplicables a los
Art. 55
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
previamente.
La
asociados
Disposiciones
164.308(b)(4)
Contrato escrito.
Disposiciones para la celebración
de un contrato escrito con los
asociados de negocio.
la
subcontratación se realizó con autorización
del responsable corresponderá al encargado.
CÓMPUTO EN LA NUBE
660
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Para el tratamiento de datos personales en
servicios, aplicaciones e infraestructura en el
denominado cómputo en la nube, en los que
50
el responsable se adhiera a los mismos
Paso 7.
mediante condiciones o cláusulas generales
Implementación de
de contratación, sólo podrá utilizar aquellos
las Medidas de
servicios en los que el proveedor cumpla, al
Seguridad
menos, con lo siguiente:
Art. 52 - I
164.308(a)(1)(i)
Proceso
de
gestión
de la seguridad.
Implementación
de
procedimientos
para
detectar,
contener
políticas
y
prevenir,
y
corregir
violaciones a la seguridad.
Aplicables a los
Datos Personales.
a) Tener y aplicar políticas de protección de
Cumplimiento
datos personales afines a los principios y
Cotidiano de
deberes aplicables que establece la Ley y su
Medidas de
164.308(b)(1)
Reglamento;
Seguridad.
Contratos con socios
y
asociados
b) Transparentar las subcontrataciones que
negocio
involucren la información sobre la que se
acuerdos.
y
de
otros
Disposiciones
establecimiento
para
de
el
contratos
y
acuerdos con socios y asociados
de negocio.
661
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
presta el servicio;
c) Abstenerse de incluir condiciones en la
prestación del servicio que le autoricen o
permitan asumir la titularidad o propiedad de
la información sobre la que presta el servicio,
Disposiciones para la celebración
164.308(b)(4)
y
Contrato escrito.
de un contrato escrito con los
asociados de negocio.
d) Guardar confidencialidad respecto de los
datos personales sobre los que se preste el
servicio.
51
Para el tratamiento de datos personales en
Paso 7.
servicios, aplicaciones e infraestructura en el
Implementación de
denominado cómputo en la nube, en los que
las Medidas de
el responsable se adhiera a los mismos
Seguridad
mediante condiciones o cláusulas generales
Art. 52 - II
Aplicables a los
164.308(a)(1)(i)
Proceso
de
gestión
de la seguridad.
de contratación, sólo podrá utilizar aquellos
Datos Personales.
servicios en los que el proveedor cuente con
Cumplimiento
mecanismos, al menos, para:
Cotidiano de
164.308 Salvaguardas
Medidas de
administrativas.
Implementación
de
procedimientos
para
detectar,
contener
políticas
y
prevenir,
y
corregir
violaciones a la seguridad.
Conjunto
de
controles
administrativos para la protección
de información de salud.
662
N°
Requerimiento normativo
a) Dar a conocer cambios en sus políticas de
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Seguridad.
privacidad o condiciones del servicio que
Identificador y
nombre
164.310 Salvaguardas
físicas.
presta;
Descripción
Objetivo de Control
Conjunto de controles físicos para
la protección de información de
salud.
b) Permitir al responsable limitar el tipo de
tratamiento de los datos personales sobre los
que se presta el servicio;
c)
Establecer
y
mantener
medidas
de
seguridad adecuadas para la protección de
los datos personales sobre los que se preste
el servicio;
164.312 Salvaguardas
d) Garantizar la supresión de los datos
técnicas.
personales una vez que haya concluido el
Conjunto de controles técnicos
para la protección de información
de salud.
servicio prestado al responsable, y que este
último haya podido recuperarlos, y
e) Impedir el acceso a los datos personales a
personas que no cuenten con privilegios de
acceso, o bien en caso de que sea a solicitud
fundada
y
competente,
motivada
informar
de
de
autoridad
ese
hecho
al
responsable.
TRANSFERENCIAS
663
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Cuando el responsable pretenda transferir los
datos personales a terceros nacionales o
extranjeros, distintos del encargado, deberá
Paso 7.
comunicar a éstos el aviso de privacidad y las
Implementación de
finalidades a las que el titular sujetó su
las Medidas de
tratamiento.
52
El tratamiento de los datos se hará conforme
a lo convenido en el aviso de privacidad, el
cual contendrá una cláusula en la que se
indique
si
el
o
no
Art. 71
Aplicables a los
Art. 72
Datos Personales.
Art. 74
Cumplimiento
Cotidiano de
transferencia de sus datos, de igual manera,
Medidas de
el tercero receptor, asumirá las mismas
Seguridad.
que
acepta
Seguridad
la
obligaciones
titular
Art. 36
Art. 68
correspondan
164.308(b)(1)
Contratos con socios
y
asociados
negocio
y
de
otros
acuerdos.
establecimiento
para
de
el
contratos
y
acuerdos con socios y asociados
de negocio.
Disposiciones para la celebración
164.308(b)(4)
de un contrato escrito con los
Contrato escrito.
al
Disposiciones
asociados de negocio.
responsable que transfirió los datos.
Paso 7.
Para
efectos
transferencia,
de
demostrar
sea
ésta
que
la
nacional
o
Implementación de
las Medidas de
Seguridad
internacional, se realiza conforme a lo que
53
establece la Ley y su Reglamento, la carga de
la prueba recaerá, en todos los casos, en el
responsable que transfiere y en el receptor
de los datos personales.
Art. 69
Aplicables a los
Datos Personales.
164.308(b)(1)
Contratos con socios
Disposiciones
y
acceso
asociados
negocio
y
a
las
otorgar
personas
a
el
su
información de salud.
acuerdos.
Cumplimiento
Cotidiano de
164.308(b)(4)
Medidas de
Contrato escrito.
Seguridad.
de
otros
para
Disposiciones
para
que
las
personas requieran la corrección
de su información de salud.
664
N°
Requerimiento normativo
En
el
caso
de
transferencias
de
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
datos
personales entre sociedades controladoras,
subsidiarias o afiliadas bajo el control común
del mismo grupo del responsable, o a una
Provisiones generales, estándares
sociedad matriz o a cualquier sociedad del
de seguridad para la protección
mismo grupo del responsable, el mecanismo
de
para garantizar que el receptor de los datos
54
personales cumplirá con las disposiciones
Art. 70
previstas en la Ley, su Reglamento y demás
1. Recomendación
General
información
electrónica
de
Parte 164 Seguridad y
salud, notificación en caso de
Privacidad.
vulneración a la
seguridad de
información de salud, privacidad
normativa aplicable, podrá ser la existencia
de
de normas internas de protección de datos
identificable a la persona.
información
de
salud
personales cuya observancia sea vinculante,
siempre y cuando éstas cumplan con lo
establecido en la Ley, su
Reglamento y
demás normativa aplicable.
Paso 7.
Implementación de
La
transferencia
deberá
formalizarse
las Medidas de
mediante algún mecanismo que permita
55
Seguridad
demostrar que el responsable transferente
Art. 73
Aplicables a los
comunicó
Art. 75
Datos Personales.
al
responsable
receptor
las
condiciones en las que el titular consintió el
Cumplimiento
tratamiento de sus datos personales.
Cotidiano de
Medidas de
164.308(b)(1)
Contratos con socios
y
asociados
negocio
y
acuerdos.
164.308(b)(4)
Contrato escrito.
de
otros
Disposiciones
establecimiento
para
de
el
contratos
y
acuerdos con socios y asociados
de negocio.
Disposiciones para la celebración
de un contrato escrito con los
asociados de negocio.
Seguridad.
665
4.21 SOx, Sarbanes-Oxley Act of 2002.
Introducción. La Ley SOx nace en Estados Unidos con para supervisar a las empresas que cotizan en bolsa de valores,
evitando que las acciones de las mismas sean alteradas de manera dudosa. Su finalidad es evitar fraudes y riesgo de
bancarrota, protegiendo al inversionista.
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
RESPONSABLE
Sección
302.
Responsabilidad
Corporativa
Los responsables en el tratamiento de datos
de
licitud,
consentimiento,
información,
calidad, finalidad, lealtad, proporcionalidad y
los
Reportes Financieros.
personales, deberán observar los principios
1
por
Art. 6
Art. 9
1. Recomendación
General.
responsabilidad, previstos en la Ley.
Esta
establece
las
responsabilidades corporativas de
las
empresas
emisoras
con
respecto a los reportes financieros
de resultados.
Esta
Sección
sección
sección
establece
las
404.
obligaciones y responsabilidades
Evaluación
Gerencial
de las empresas emisoras en la
de
Controles
evaluación
los
Internos.
internos
de
con
sus
respecto
controles
a
los
reportes financieros de resultados.
LICITUD Y LEALTAD
666
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Los datos personales deberán recabarse y
tratarse de manera lícita, privilegiando la
protección de los intereses del titular y la
expectativa
2
razonable
de
privacidad,
sin
importar la fuente de la que se obtienen los
datos.
Art. 7
Art. 7
Art. 10
Art. 44
Paso 1. Alcance y
Objetivos.
NO APLICA
NO APLICA
NO APLICA
NO APLICA
La obtención de datos personales no debe
hacerse a través de medios engañosos o
fraudulentos.
CONSENTIMIENTO
El tratamiento de datos personales estará
sujeto al consentimiento de su titular, salvo
las excepciones previstas por la Ley.
Los
3
datos
financieros
o
patrimoniales
Art. 11
requerirán consentimiento expreso de su
Art. 12
titular.
Cuando los datos personales se obtengan
Art. 8
Art. 15
Paso 2. Política de
Gestión de Datos
Personales.
personalmente o de manera directa de su
titular, el consentimiento deberá ser previo al
tratamiento.
667
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
El responsable deberá facilitar al titular
4
medios sencillos y gratuitos para manifestar
Identificador y
nombre
Descripción
Objetivo de Control
Paso 2. Política de
Art. 8
Art. 16
su consentimiento expreso.
Gestión de Datos
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Personales.
Tratándose de datos personales sensibles, el
responsable
deberá
obtener
el
consentimiento expreso y por escrito del
titular
para
su
tratamiento.
Paso 2. Política de
5
No podrán crearse bases de datos que
Art. 9
Art. 56
contengan datos personales sensibles, sin
Gestión de Datos
Personales.
que se justifique la creación de las mismas
para
finalidades
legítimas,
concretas
y
acordes con las actividades o fines explícitos
que persigue el sujeto regulado.
Paso 7.
Implementación de
Para efectos de demostrar la obtención del
6
consentimiento,
recaerá,
en
responsable.
la
todos
carga
los
de
la
casos,
prueba
en
el
las Medidas de
Art. 20
Seguridad
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
668
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Medidas de
Seguridad.
INFORMACIÓN
A
través
del
aviso
de
privacidad,
el
responsable tendrá la obligación de informar
a los titulares, los datos que recaba, las
finalidades necesarias y las que no lo son
para
la
relación
jurídica,
así
como
las
características principales de su tratamiento.
Art. 14
Cuando se traten datos personales como
7
parte de un proceso de toma de decisiones
sin que intervenga la valoración de una
persona
física,
el
responsable
Art. 15
Art. 23
Art. 112
Paso 2. Política de
Gestión de Datos
NO APLICA
NO APLICA
Personales.
deberá
informar al titular que esta situación ocurre.
Si obtiene los datos de manera automática,
deberá informar al titular sobre el uso de
estas tecnologías y la forma en que podrá
deshabilitarlas.
669
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
Implementación de
Cuando los datos personales sean obtenidos
directamente
8
del
titular,
el
aviso
las Medidas de
de
Seguridad
privacidad debe ponerse a disposición de los
Art. 3, I
titulares a través de formatos impresos,
Art. 17
Art. 27
Aplicables a los
Datos Personales.
digitales, visuales, sonoros o cualquier otra
Cumplimiento
tecnología.
Cotidiano de
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Medidas de
Seguridad.
Paso 7.
El aviso de privacidad
debe contener un
mecanismo,
el
para
que
titular
Implementación de
las Medidas de
pueda
manifestar su negativa al tratamiento de sus
9
datos
personales.
Cuando
los
datos
se
obtengan de manera indirecta del titular, el
responsable deberá darle a conocer el aviso
de privacidad y sus cambios.
Art. 14
Art. 18
Art. 29
Art. 32
Seguridad
Aplicables a los
Datos Personales.
Cumplimiento
Cotidiano de
Medidas de
Seguridad
670
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
Implementación de
las Medidas de
Para efectos de demostrar la puesta a
disposición
10
del
aviso
de
privacidad
Seguridad
en
cumplimiento del principio de información, la
Art. 31
carga de la prueba recaerá, en todos los
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Cumplimiento
casos, en el responsable.
Cotidiano de
Medidas de
Seguridad.
CALIDAD
El responsable procurará que los datos
personales contenidos en las bases de datos
11
sean
exactos,
completos,
pertinentes,
correctos y actualizados según se requiera
para el cumplimiento de la finalidad para la
Paso 2. Política de
Art. 11
Art. 36
Gestión de Datos
Personales.
cual son tratados.
671
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Cuando los datos de carácter personal hayan
dejado
de
ser
necesarios
para
el
cumplimiento de las finalidades previstas por
el aviso de privacidad y las disposiciones
legales aplicables, deberán ser cancelados,
previo bloqueo de los mismos.
12
El responsable de la base de datos estará
obligado a eliminar la información relativa al
incumplimiento
de
Art. 3 III
Art. 11
Paso 2. Política de
Art. 37
Gestión de Datos
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Personales.
obligaciones
contractuales, una vez que transcurra un
plazo de setenta y dos meses, contado a
partir de la fecha calendario en que se
presente el mencionado incumplimiento.
El responsable establecerá y documentará
13
procedimientos para la conservación y, en su
caso, bloqueo y supresión de los datos
personales.
Paso 2. Política de
Art. 38
Gestión de Datos
Personales.
672
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 7.
Implementación de
las Medidas de
Seguridad
Al responsable le corresponde demostrar que
14
los datos personales se conservan, o en su
Art. 39
caso, bloquean, suprimen o cancelan.
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
FINALIDAD
El tratamiento de datos personales deberá
limitarse al cumplimiento de las finalidades
previstas en el aviso de privacidad.
Si el responsable pretende tratar los datos
para un fin distinto al establecido, deberá
15
obtener nuevamente el consentimiento del
titular.
El titular podrá oponerse o revocar su
Art. 12
Art. 40
Paso 2. Política de
Art. 42
Gestión de Datos
Art. 43
Personales.
consentimiento para las finalidades distintas
a las que dieron origen a la relación jurídica,
sin que ello tenga como consecuencia la
conclusión del tratamiento.
PROPORCIONALIDAD
673
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
El tratamiento de datos personales será el
que resulte necesario, adecuado y relevante
en relación con las finalidades previstas en el
16
aviso de privacidad. En particular para datos
Art. 13
personales sensibles, el responsable deberá
Art. 45
Art. 46
Paso 2. Política de
Gestión de Datos
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Personales.
limitar el periodo de tratamiento al mínimo
indispensable.
CONFIDENCIALIDAD
El responsable o terceros que intervengan en
cualquier fase del tratamiento de datos
17
personales deberán guardar confidencialidad
respecto de éstos, obligación que subsistirá
Paso 2. Política de
Art. 21
Art. 9
Gestión de Datos
Personales.
aun después de finalizar sus relaciones con el
titular o, en su caso, con el responsable.
RESPONSABILIDAD
El responsable tiene la obligación de velar y
Sección 404. Evaluación Gerencial de los Controles Internos.
responder por el tratamiento de los datos
(a) Reglas requeridas.
personales en su posesión, debiendo adoptar
las medidas necesarias.
18
Paso 2. Política de
Art. 14
El responsable deberá tomar las medidas
Art. 47
Gestión de Datos
Personales.
(1) Manifestar la responsabilidad de la Gerencia por el
establecimiento
y
mantenimiento
de
una
estructura
necesarias y suficientes para garantizar que el
adecuada de control interno y de procedimientos para el
aviso de privacidad dado a conocer al titular,
reporte financiero.
sea respetado en todo momento por él o
674
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
por terceros con los que guarde alguna
relación jurídica.
Sección 302. Responsabilidad Corporativa por los Reportes
Financieros.
(a) Reglamentos requeridos.
(5) Los funcionarios firmantes han divulgado a los auditores
del emisor y al comité de auditoría de la junta de directivos
(A) todas las deficiencias significativas en el diseño u
operación de los controles internos las cuales podrían
Los responsables deberán adoptar medidas
19
para
garantizar
el
debido
tratamiento,
privilegiando los intereses del titular y la
expectativa razonable de privacidad.
Art. 14
Art. 48
Paso 5. Realizar el
afectar negativamente la capacidad del emisor de registrar,
Análisis de Riesgo
procesar, resumir, y reportar datos financieros y han
de los Datos
Personales.
identificado para los auditores del emisor
cualquier
debilidad material en los controles internos.
(6) Los funcionarios firmantes han indicado en el reporte sí
o no hubieron cambios significativos en los controles
internos
o
en
significativamente
otros
afectar
factores
los
que
controles
pudieran
internos
posteriormente a la fecha de su evaluación, incluyendo
cualquier acción correctiva con respecto a deficiencias
significativas y debilidades materiales.
675
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Elaborar políticas y programas de privacidad
20
obligatorios y exigibles al interior de la
21
en
Descripción
Art. 48 - I
Gestión de Datos
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Personales.
práctica
un
programa
de
capacitación, actualización, y concientización
del
nombre
Objetivo de Control
Paso 2. Política de
organización.
Poner
Identificador y
personal
sobre
las
obligaciones
en
Paso 9. Mejora
Art. 48 - II
materia de protección de datos personales.
Continua y
Capacitación.
Capacitación.
Sección 404. Evaluación Gerencial de los Controles Internos.
(b) Evaluación y reporte del Control Interno. Con respecto a
Establecer
22
un
sistema
de
supervisión
vigilancia interna, verificaciones o auditorías
externas para comprobar el cumplimiento de
las políticas de privacidad.
la evaluación del control interno requerido, cada despacho
y
Art. 48 - III
Paso 8. Revisiones y
Auditoría.
contable que prepare o emita un reporte de auditoría para
el emisor atestiguara, y reportará sobre la evaluación
realizada por la Gerencia del emisor. Un atestiguamiento
debe ser realizado de acuerdo con estándares para
proyectos de atestiguamiento emitidos o adoptados por la
PCAOB. Dicho atestiguamiento no será sujeto de un
proyecto separado.
676
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Paso 3. Establecer
23
Destinar recursos para la instrumentación de
los programas y políticas de privacidad.
Funciones y
Art. 48 - IV
Obligaciones de
NO APLICA
NO APLICA
Quienes Traten
Datos Personales.
Sección 302. Responsabilidad Corporativa por los Reportes
Financieros.
(a) Reglamentos requeridos.
(5) Los funcionarios firmantes han divulgado a los auditores
del emisor y al comité de auditoría de la junta de directivos
(A) todas las deficiencias significativas en el diseño u
operación de los controles internos las cuales podrían
Instrumentar un procedimiento para que se
Paso 5. Realizar el
atienda el riesgo para la protección de datos
24
personales por la implementación de nuevos
productos, servicios, tecnologías y modelos
de negocios, así como para mitigarlos.
Art. 48 - V
Análisis de Riesgo
de los Datos
Personales.
afectar negativamente la capacidad del emisor de registrar,
procesar, resumir, y reportar datos financieros y han
identificado para los auditores del emisor
cualquier
debilidad material en los controles internos.
(6) Los funcionarios firmantes han indicado en el reporte sí
o no hubieron cambios significativos en los controles
internos
o
en
significativamente
otros
afectar
factores
los
que
controles
pudieran
internos
posteriormente a la fecha de su evaluación, incluyendo
cualquier acción correctiva con respecto a deficiencias
significativas y debilidades materiales.
677
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
Sección 404. Evaluación Gerencial de los Controles Internos.
Revisar
25
periódicamente
las
políticas
(a) Reglas requeridas.
y
programas de seguridad para determinar las
Art. 48 - VI
modificaciones que se requieran.
Paso 8. Revisiones y
(2) Contener una evaluación, a partir del más reciente año
Auditoría.
fiscal del emisor, de la efectividad de la estructura de
control interno y los procedimientos del emisor para el
reporte financiero.
Paso 7.
Implementación de
las Medidas de
Establecer
26
procedimientos
para
recibir
Seguridad
y
responder dudas y quejas de los titulares de
Art. 48 - VII
los datos personales.
Aplicables a los
Datos Personales.
NO APLICA
NO APLICA
NO APLICA
NO APLICA
Cumplimiento
Cotidiano de
Medidas de
Seguridad.
Disponer
27
de
mecanismos
para
el
cumplimiento de las políticas y programas de
privacidad, así como de sanciones por su
Paso 3. Funciones y
Art. 48 - VIII
incumplimiento.
los datos personales, es decir, un conjunto
de acciones técnicas y administrativas que
Quienes Traten
Datos Personales.
Establecer medidas para el aseguramiento de
28
Obligaciones de
Paso 6.
Art. 48 - IX
Sección 404. Evaluación Gerencial de los Controles Internos.
Identificación de las
medidas de
(a) Reglas requeridas.
678
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
permitan garantizar al responsable el
seguridad y Análisis
cumplimiento de los principios y obligaciones
de Brecha.
que establece la Ley y su Reglamento.
Identificador y
nombre
Descripción
Objetivo de Control
(1) Manifestar la responsabilidad de la Gerencia por el
establecimiento
y
mantenimiento
de
una
estructura
adecuada de control interno y de procedimientos para el
reporte financiero.
Sección 404. Evaluación Gerencial de los Controles Internos.
29
Establecer medidas para la trazabilidad de los
Paso 6.
datos personales, es decir acciones, medidas
Identificación de las
y procedimientos técnicos que
permiten
Art. 48 - X
rastrear a los datos personales durante su
medidas de
seguridad y Análisis
tratamiento.
de Brecha.
(a) Reglas requeridas.
(1) Manifestar la responsabilidad de la Gerencia por el
establecimiento
y
mantenimiento
de
una
estructura
adecuada de control interno y de procedimientos para el
reporte financiero.
Paso 7.
Implementación de
Todo responsable deberá designar a una
persona,
personales,
30
o
departamento
quien
dará
de
las Medidas de
datos
trámite
a
(a) Reglas requeridas.
Seguridad
las
solicitudes de los titulares, para el ejercicio
Sección 404. Evaluación Gerencial de los Controles Internos.
Aplicables a los
Art. 30
Datos Personales.
de los derechos a que se refiere la Ley.
Cumplimiento
Asimismo fomentará la protección de datos
Cotidiano de
personales al interior de la organización.
Medidas de
(1) Manifestar la responsabilidad de la Gerencia por el
establecimiento
y
mantenimiento
de
una
estructura
adecuada de control interno y de procedimientos para el
reporte financiero.
Seguridad.
SEGURIDAD
31
Todo
responsable
tratamiento
de
que
datos
lleve
personales
a
cabo
deberá
Art. 19
Art. 4
Paso 6.
Art. 9
Identificación de las
Sección 404. Evaluación Gerencial de los Controles Internos.
679
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Art. 57
medidas de
establecer y mantener medidas de seguridad
administrativas,
permitan
técnicas
proteger
los
y
físicas
datos
que
seguridad y Análisis
personales
Identificador y
nombre
Descripción
Objetivo de Control
(a) Reglas requeridas.
de Brecha.
contra daño, pérdida, alteración, destrucción
o el uso, acceso o tratamiento no autorizado.
No
adoptarán
medidas
de
seguridad
menores a aquellas que mantengan para el
(1) Manifestar la responsabilidad de la Gerencia por el
manejo de su información.
establecimiento
y
mantenimiento
de
una
estructura
adecuada de control interno y de procedimientos para el
reporte financiero.
Cuando el encargado se encuentre ubicado
en territorio mexicano, le serán aplicables las
disposiciones relativas a las medidas de
seguridad contenidas en el Capítulo III de
Reglamento.
El responsable determinará las medidas de
Sección 302. Responsabilidad Corporativa por los Reportes
seguridad aplicables a los datos personales
Paso 5. Realizar el
que trate, considerando el riesgo existente,
32
las posibles consecuencias para los titulares,
la sensibilidad de los datos y el desarrollo
tecnológico.
Art. 19
Art. 60
Financieros.
Análisis de Riesgo
de los Datos
Personales.
(a) Reglamentos requeridos.
680
N°
Requerimiento normativo
De
LFPDPPP
Reglamento
Recomendaciones
Identificador y
nombre
Descripción
Objetivo de Control
procurará tomar en cuenta los siguientes
del emisor y al comité de auditoría de la junta de directivos
elementos:
(A) todas las deficiencias significativas en el diseño u
I. El número de titulares;
operación de los controles internos las cuales podrían
II. Las vulnerabilidades previas ocurridas en
afectar negativamente la capacidad del emisor de registrar,
los sistemas de tratamiento;
procesar, resumir, y reportar datos financieros y han
riesgo
por
el
el
Referencia
(5) Los funcionarios firmantes han divulgado a los auditores
El
adicional,
Referencia
responsable
III.
manera
Referencia
valor
potencial
identificado para los auditores del emisor
cualquier
cuantitativo o cualitativo que pudieran tener
debilidad material en los controles internos.
los datos personales tratados para una
(6) Los funcionarios firmantes han indicado en el reporte sí
tercera
o no hubieron cambios significativos en los controles
persona
no
autorizada
para
su
posesión, y
internos
IV. Demás factores que puedan incidir en el
significativamente
nivel de riesgo o que resulten de otras leyes
posteriormente a la fecha de su evaluación, incluyendo
o regulación aplicable al responsable.
cualquier acción correctiva con respecto a deficiencias
o
en
otros
afectar
factores
los
que
controles
pudieran
internos
significativas y debilidades materiales.
33
Elaborar un inventario de datos personales y
de los sistemas de tratamiento.
Paso 4. Elaborar un
Art. 61 - I
Inventario de Datos
34
las personas que traten datos personales.
NO APLICA
Personales.
Paso 3. Establecer
Determinar las funciones y obligaciones de
NO APLICA
Art. 61 - II
Funciones y
Sección 404. Evaluación Gerencial de los Controles Internos.
Obligaciones de
Quienes Traten
(a) Reglas requeridas.
681
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
Datos Personales.
Identificador y
nombre
Descripción
Objetivo de Control
(1) Manifestar la responsabilidad de la Gerencia por el
establecimiento
y
mantenimiento
de
una
estructura
adecuada de control interno y de procedimientos para el
reporte financiero.
Sección 302. Responsabilidad Corporativa por los Reportes
Financieros.
(a) Reglamentos requeridos.
(5) Los funcionarios firmantes han divulgado a los auditores
del emisor y al comité de auditoría de la junta de directivos
(A) todas las deficiencias significativas en el diseño u
operación de los controles internos las cuales podrían
Contar con un análisis de riesgos de datos
35
personales
que
consiste
en
identificar
peligros y estimar los riesgos a los datos
Art. 61 - III
personales.
Paso 5. Realizar el
afectar negativamente la capacidad del emisor de registrar,
Análisis de Riesgo
procesar, resumir, y reportar datos financieros y han
de los Datos
Personales.
identificado para los auditores del emisor
cualquier
debilidad material en los controles internos.
(6) Los funcionarios firmantes han indicado en el reporte sí
o no hubieron cambios significativos en los controles
internos
o
en
significativamente
otros
afectar
factores
los
que
controles
pudieran
internos
posteriormente a la fecha de su evaluación, incluyendo
cualquier acción correctiva con respecto a deficiencias
significativas y debilidades materiales.
36
Establecer
las
medidas
de
seguridad
Art. 61 - IV
Paso 6.
Sección 404. Evaluación Gerencial de los Controles Internos.
682
N°
Requerimiento normativo
Referencia
Referencia
Referencia
LFPDPPP
Reglamento
Recomendaciones
aplicables a los datos personales e identificar
Identificación de las
aquéllas implementadas de manera efectiva.
medidas de
seguridad y Análisis
de Brecha.
Identificador y
nombre
Descripción
Objetivo de Control
(a) Reglas requeridas.
(1) Manifestar la responsabilidad de la Gerencia por el
establecimiento
y
mantenimiento
de
una
estructura
adecuada de control interno y de procedimientos para el
reporte financiero.
Sección 404. Evaluación Gerencial de los Controles Internos.
37
Realizar el análisis de brecha que consiste en
Paso 6.
la diferencia de las medidas de seguridad
Identificación de las
existentes y aquéllas faltantes que resultan
Art. 61 - V
necesarias para la protección de los datos
medidas de
seguridad y Análisis
personales.
de Brecha.
(a) Reglas requeridas.
(1) Manifestar la responsabilidad de la Gerencia por el
establecimiento
y
mantenimiento
de
una
estructura
adecuada de control interno y de procedimientos para el
reporte financiero.
Paso 7.
Implementación de
Sección 404. Evaluación Gerencial de los Controles Internos.
las Medidas de
Seguridad
Elaborar
38
un
plan
de
trabajo
para
la
implementación de las medidas de seguridad
faltantes, der